Xiaozhi-esp32-server: IDOR в endpoint адресной книги устройств (CVE-2026-116017)
В Xiaozhi-esp32-server до версии 0.9.8 обнаружена уязвимость небезопасной прямой ссылки на объект (IDOR) в обработчике DeviceController.getAddressBook. Аутентифицированный пользователь может прочитать адресную книгу чужих устройств, зная их MAC-адрес. Критичность — средняя (CVSS 5.3).
Подробности
Уязвимость присутствует в версиях Xiaozhi-esp32-server до 0.9.8. Она локализована в обработчике DeviceController.getAddressBook. Из-за отсутствия корректной авторизации на уровне объекта любой прошедший аутентификацию пользователь — в том числе обладатель обычной учётной записи, самостоятельно зарегистрированной на платформе, — может отправить запрос вида /device/address-book/{macAddress}, подставив MAC-адрес чужого устройства. В результате атакующий получает данные адресной книги этого устройства: MAC-адреса контактов, их псевдонимы (aliases), настройки разрешений на вызовы и идентификаторы пользователей-владельцев. Это позволяет раскрыть внутреннюю структуру связей между устройствами и пользователями, что может быть использовано для дальнейшей разведки и подготовки целевых атак. Уязвимости присвоен базовый балл CVSS 5.3, что соответствует средней степени критичности. Для эксплуатации требуется наличие действующей учётной записи, однако самостоятельная регистрация существенно снижает порог входа для потенциального злоумышленника.Что делать
Основная рекомендация — обновиться до версии 0.9.8 или более поздней, в которой проблема устранена. Перед обновлением следует проверить актуальность резервных копий конфигурации и данных. Если немедленное обновление невозможно, рекомендуется ограничить доступ к manager-api: закрыть эндпоинты устройства на периметре, разрешив обращения только из доверенных сегментов сети, и усилить контроль за регистрацией новых учётных записей (например, отключить самостоятельную регистрацию или ввести ручное подтверждение). Также стоит провести аудит журналов на предмет подозрительных запросов к /device/address-book/ с необычными MAC-адресами и проверить, не было ли массового перебора идентификаторов. Дополнительно целесообразно ограничить чувствительность данных, отдаваемых в ответе адресной книги, и внедрить проверку принадлежности устройства текущему пользователю на уровне логики приложения. Итог: CVE-2026-116017 — типичный пример IDOR, возникающего при отсутствии проверки прав на объект. Несмотря на средний балл CVSS, утечка связей между устройствами и пользователями создаёт основу для более серьёзных атак, поэтому обновление до 0.9.8 следует выполнить в приоритетном порядке.Источник: CVE Project (cvelistV5)