VULNERABILIDAD

CVE-2026-116017 Referencia directa insegura a objetos en el endpoint de libreta de direcciones de Xiaozhi-esp32-server

Xiaozhi-esp32-server, en versiones anteriores a la 0.9.8, presenta una referencia directa insegura a objetos en el manejador DeviceController.getAddressBook de manager-api que permite a usuarios autenticados leer las libretas de direcciones de dispositivos de otros usuarios. Con una cuenta normal o autorregistrada se puede pedir /device/address-book/{macAddress} con la MAC de un dispositivo ajeno para obtener MACs de contactos, alias, permisos de llamada e IDs de usuario propietario.

Alerta de Nureq Monitor

Detectada 24 OCT · 11:20

CVSS 3.1

4.3MEDIA

CVSS 4.0

5.3 MEDIA

PROBABILIDAD DE EXPLOTACIÓN (EPSS)

— SIN DATO

EXPLOTACIÓN ACTIVA

No confirmada

EXPLOIT PÚBLICO

No conocido

Qué es CVE-2026-116017

Productos y versiones afectadas

xinnan-tech xiaozhi-esp32-server
- hasta antes de 0.9.8

Qué hacer

Verificá si usás xiaozhi-esp32-server y en qué versión: el rango afectado figura arriba.
Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 4.3 MEDIA

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

VECTOR DE ATAQUE (AV): Red
COMPLEJIDAD DEL ATAQUE (AC): Baja
PRIVILEGIOS REQUERIDOS (PR): Bajos
INTERACCIÓN DEL USUARIO (UI): Ninguna
ALCANCE (S): Sin cambio
CONFIDENCIALIDAD (C): Baja
INTEGRIDAD (I): Ninguna
DISPONIBILIDAD (A): Ninguna

CVSS 4.0 · 5.3 MEDIA

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N

VECTOR DE ATAQUE (AV): Red
COMPLEJIDAD DEL ATAQUE (AC): Baja
REQUISITOS DEL ATAQUE (AT): Ninguno
PRIVILEGIOS REQUERIDOS (PR): Bajos
INTERACCIÓN DEL USUARIO (UI): Ninguna
CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC): Baja
INTEGRIDAD (SISTEMA VULNERABLE) (VI): Ninguna
DISPONIBILIDAD (SISTEMA VULNERABLE) (VA): Ninguna
CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC): Ninguna
INTEGRIDAD (SISTEMAS POSTERIORES) (SI): Ninguna
DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA): Ninguna

Abrir la calculadora completa

Descripción original

Xiaozhi-esp32-server before 0.9.8 contains an insecure direct object reference vulnerability in the manager-api DeviceController.getAddressBook handler that allows authenticated users to read other users' device address books. Attackers with a normal or self-registered account can request /device/address-book/{macAddress} with another user's device MAC to obtain contact MACs, aliases, call permissions, and owner user IDs.

Referencias

github.com/xinnan-tech/xiaozhi-esp32-server/issues/3459ISSUE-TRACKING
github.com/xinnan-tech/xiaozhi-esp32-server/pull/3460PATCH · ISSUE-TRACKING
github.com/xinnan-tech/xiaozhi-esp32-server/commit/d4ff9c5c17cbd82ec98a2a6bb4f82a07c1be0f…PATCH
github.com/xinnan-tech/xiaozhi-esp32-server/releases/tag/v0.9.8RELEASE-NOTES
github.com/xinnan-tech/xiaozhi-esp32-server/blob/v0.9.7/main/manager-api/src/main/java/xi…TECHNICAL-DESCRIPTION
github.com/xinnan-tech/xiaozhi-esp32-server/blob/v0.9.7/main/manager-api/src/main/resourc…TECHNICAL-DESCRIPTION
hackmd.io/@hieuPenguinnn/xiaozhi-esp32-server-address-book-idorTHIRD-PARTY-ADVISORY
www.vulncheck.com/advisories/xiaozhi-esp32-server-before-0.9.8-idor-via-device-address-bo…THIRD-PARTY-ADVISORY

Historial de la alerta

24 OCT · 11:20VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.