PT-2026-68133
CVE-2026-71260
·
تاريخ النشر
2026-08-05
·
تاريخ التحديث
2026-08-10
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:A/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات ESPHome الأقدم من 2026.7.0-dev
الوصف
يكشف مكون
web server عن كلمات المرور بنص عادي. في الدالة WebServer::text json ()، يتم إخفاء حقل state في JSON للكيانات النصية التي تم تكوينها باستخدام mode: password، ولكن يتم كتابة كلمة المرور الخام في حقل value في JSON من خلال الدالتين set json icon state value() وset json value(). نظرًا لأن خادم الويب يستمع على المنفذ 80 دون مصادقة بشكل افتراضي، يمكن للمهاجم الموجود على الشبكة المحلية استرداد معلومات حساسة، مثل بيانات اعتماد شبكة WiFi أو رموز API، عبر نقطة النهاية GET /text/<entity id> أو دفق EventSource /events.التوصيات
قم بالتحديث إلى إصدار أحدث من 2026.7.0-dev.
كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى مكون
web server أو تجنب استخدام التكوين mode: password للكيانات النصية.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾