CVE-2026-55419
Təsvir
Reachy Mini, Reachy Mini robotlarını idarə etmək üçün nəzərdə tutulmuş bir SDK-dır. Versiya 1.8.2-dən əvvəl, Reachy Mini demonu `src/reachy_mini/daemon/app/routers/media.py` faylında `upload_sound` metodu ilə tətbiq edilmiş `/api/media/sounds/upload` son nöqtəsini (endpoint) autentifikasiya, fayl genişlənməsi yoxlamaları, məzmun təsdiqi və ya ölçü validasiyası olmadan təqdim edir. Demon standart olaraq 0.0.0.0 ünvanına bağlanır və permissiv CORS `allow_origins=["*"]` parametrlərindən istifadə edir ki, bu da autentifikasiya olunmamış şəbəkə hücumçusuna `/tmp/reachy_mini_sounds/<original_filename>` yoluna yazılan ixtiyari fayl tiplərini yükləməyə imkan verir. Zərərli fayllar saxlanılan məlumatların bütövlüyünü poza bilər və digər boşluqlarla birlikdə istifadə edildikdə sistemə giriş nöqtəsi rolunu oynaya bilər. Bu problem 1.8.2 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- reachy-mini1.8.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| reachy-miniPyPI | v < 1.8.2 | 1.8.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.