- Son 7 gün
- CWE-290
CVE-2026-119703
xiaozhi-esp32-server through 0.9.8 Authentication Bypass via Spoofed Device-ID Header
Orta
4,8
CVSS 3.1
- Yayımlandı
- Güncellendi
- 30 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- VulnCheck
Özet
Türkçe özeti yalnızca kritik ve yüksek önemdeki açıklar için hazırlıyoruz. Bu açık için kaynağın kendi açıklamasını gösteriyoruz.
xiaozhi-esp32-server through 0.9.8 contains an authentication bypass vulnerability in WebSocketServer._handle_auth that allows remote unauthenticated attackers to skip Bearer HMAC token verification by spoofing the Device-ID header. Attackers supplying an allowlisted MAC-address-shaped device identifier can open an authenticated WebSocket session, issue voice-assistant commands, exchange audio, and read that device's conversation context.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| xinnan-tech xiaozhi-esp32-server | ≤ 0.9.8 | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/xinnan-tech/xiaozhi-esp32-server/pull/3457 Yama
- github.com/xinnan-tech/xiaozhi-esp32-server/issues/3448 Üçüncü taraf
- vulncheck.com/…entication-bypass-via-spoofed-device-id-header Üçüncü taraf
- github.com/xinnan-tech/xiaozhi-esp32-server Diğer
- github.com/…8/main/xiaozhi-server/core/websocket_server.py Diğer
Kayıt geçmişi
- Yayımlandı