CVE-2026-27510

Unitree Go2 Android uygulaması (com.unitree.doggo2) ile birlikte kullanılan Unitree Go2 aygıt yazılımı 1.1.7 ile 1.1.11 sürümleri, kullanıcı tarafından oluşturulan programların bütünlük korumasının ve doğrulamasının eksik olması nedeniyle uzaktan kod çalıştırmaya karşı savunmasızdır. Android uygulaması, programları yerel bir SQLite veritabanında (unitree_go2.db, dog_programme tablosu) saklar ve pyCode alanı da dahil olmak üzere programme_text içeriğini robota iletir. Robotun actuator_manager.py dosyası, sağlanan Python kodunu herhangi bir bütünlük doğrulaması veya içerik kontrolü yapmadan root yetkileriyle çalıştırır. Android cihaza yerel erişimi olan bir saldırgan, depolanan program kaydını değiştirerek rastgele Python kodu enjekte edebilir; bu kod, kullanıcı programı bir kontrolcü tuş atamasıyla tetiklediğinde çalışır ve kötü amaçlı atama yeniden başlatmalardan sonra da kalıcı olur. Ayrıca, uygulamanın topluluk pazarı üzerinden paylaşılan kötü amaçlı bir program, onu içe aktaran ve çalıştıran herhangi bir robot üzerinde rastgele kod çalıştırılmasına neden olabilir.