CVE-2026-72581

Nome do Software Vulnerável e Versões Afetadas duhow/xiaoai-patch versões anteriores ao commit fb07049

Description Um problema de server-side request forgery (SSRF) permite que um invasor remoto force um smart speaker da Xiaomi a realizar requisições HTTP para URLs internas ou externas arbitrárias. Isso ocorre porque o endpoint '/auth' em api/main.py utiliza o parâmetro POST url fornecido pelo usuário para redirecionar para uma instância do Home Assistant sem validar a URL de destino, o que pode ser utilizado para varredura de rede interna e acesso a serviços internos.

Recommendations Atualize o duhow/xiaoai-patch para uma versão posterior ao commit fb07049. Como medida de mitigação temporária, restrinja o acesso ao endpoint '/auth' para evitar requisições não autorizadas.