PT-2026-69464
CVE-2026-72580
·
تاريخ النشر
2026-08-10
·
تاريخ التحديث
2026-08-10
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
إصدارات duhow/xiaoai-patch السابقة لـ commit fb07049
الوصف
ثغرة في حقن أوامر نظام التشغيل تسمح لمهاجم عن بُعد بتنفيذ أوامر نظام عشوائية على مكبرات الصوت الذكية من Xiaomi. تحدث المشكلة لأن نقاط النهاية
/mute و/unmute في api/main.py تمرر معلمة الاستعلام silent مباشرةً إلى الدالة os.system() دون تنقية مناسبة، مما يسمح باستخدام أحرف خاصة في شل لحقن الأوامر.التوصيات
تحديث duhow/xiaoai-patch إلى إصدار أحدث من الالتزام fb07049.
تجنب استخدام المعلمة
silent في نقاط النهاية /mute و/unmute حتى يتم تطبيق التصحيح.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾