PT-2026-69465
CVE-2026-72581
·
تاريخ النشر
2026-08-10
·
تاريخ التحديث
2026-08-10
الوصف من
CVSS 3.1
8.6
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
إصدارات duhow/xiaoai-patch السابقة لـ commit fb07049
الوصف
تسمح مشكلة تزوير الطلبات من جانب الخادم (SSRF) لمهاجم عن بُعد بإجبار مكبر صوت ذكي من Xiaomi على تنفيذ طلبات HTTP إلى عناوين URL داخلية أو خارجية عشوائية. يحدث هذا لأن نقطة النهاية ’/auth‘ في
api/main.py تستخدم معلمة POST url لإعادة التوجيه إلى مثيل Home Assistant دون التحقق من صحة عنوان URL الوجهة، مما يمكن استخدامه لمسح الشبكة الداخلية والوصول إلى الخدمات الداخلية.التوصيات
تحديث duhow/xiaoai-patch إلى إصدار أحدث من الالتزام fb07049.
كإجراء تخفيفي مؤقت، تقييد الوصول إلى نقطة النهاية ’/auth‘ لمنع الطلبات غير المصرح بها.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾