Veille sécuritéBackend & données
P4Moyenne
Une requête OTA peut permettre à un attaquant non authentifié d’obtenir un jeton WebSocket valide en fournissant une adresse MAC arbitraire. L’accès au canal d’un appareil peut exposer ou permettre de modifier des données de conversation et des métadonnées, ainsi que consommer des identifiants de services LLM/STT/TTS.
Java
IdentifiantCVE-2026-111623
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-111623
Analyse technique
Contournement d’authentification lors de l’obtention de jetons d’appareil par l’interface `/api/device/ota`.
Impact, versions et correctif
Événement datéLa publication NVD est horodatée 2026-10-16T18:17:42.133Z, soit le 2026-10-16 à 20:17:42.133+02:00, dans la période demandée.
ImpactAccès non autorisé à des canaux d’appareils, avec exposition ou modification de données et consommation possible de ressources tierces.
Versions affectéesXiaozhi-esp32-server-java jusqu’à la version 6.1.0 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.3
Publication2026-10-16T20:17:42.133+02:00
Action recommandée
Mettre à niveau vers une version corrigée dès qu’elle est disponible; restreindre l’accès à l’interface OTA et surveiller les demandes de jetons inhabituelles.
Sources
Priorisation DFS : P4 · 1 source(s).