p PatchFirst

CVE-2026-55419

CVE-2026-55419 · Reachy Mini: Unrestricted Upload of File with Dangerous Type

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

Reachy Mini is an SDK for controlling Reachy Mini robots. Prior to 1.8.2, the Reachy Mini daemon exposes the /api/media/sounds/upload endpoint implemented by the upload_sound method in src/reachy_mini/daemon/app/routers/media.py without authentication, file-extension checks, content validation, or size validation. The daemon binds to 0.0.0.0 by default and uses permissive CORS allow_origins=["*"], allowing an unauthenticated network attacker to upload arbitrary file types that are written to /tmp/reachy_mini_sounds/<original_filename>. Malicious files can compromise stored-data integrity and can serve as a foothold when combined with other vulnerabilities. This issue is fixed in version 1.8.2.

CVSS 5.3 · Mittel · EPSS 0,5% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: python

Betroffene Produkte und Versionen

  • reachy_mini

    Softwareversionen
    • < 1.8.2: Betroffen

    Keine Korrektur veröffentlicht

  • reachy-mini PyPI

    Softwareversionen
    • 1.0.0
    • 1.0.0rc1
    • 1.0.0rc4
    • 1.0.0rc5
    • 1.1.0
    • 1.1.0rc3
    • 1.1.0rc4
    • 1.1.1
    • 1.1.2
    • 1.1.3
    • 1.1.4
    • 1.2.0
    • 1.2.0rc1
    • 1.2.1
    • 1.2.10
    • 1.2.11
    • 1.2.13
    • 1.2.2
    • 1.2.3
    • 1.2.3rc1
    • 1.2.4
    • 1.2.4rc1
    • 1.2.4rc2
    • 1.2.4rc3
    • 1.2.4rc4
    • 1.2.5
    • 1.2.5rc1
    • 1.2.5rc2
    • 1.2.5rc3
    • 1.2.5rc4
    • 1.2.6
    • 1.2.6rc1
    • 1.2.6rc2
    • 1.2.6rc3
    • 1.2.7
    • 1.2.7rc1
    • 1.2.7rc2
    • 1.2.8
    • 1.2.9
    • 1.3.0
    • 1.3.1
    • 1.4.0
    • 1.4.0.dev0
    • 1.4.1
    • 1.5.0
    • 1.5.1
    • 1.6.0
    • 1.6.1
    • 1.6.2
    • 1.6.3
    • 1.6.4
    • 1.7.0
    • 1.7.1
    • 1.7.2
    • 1.7.3
    • 1.8.0
    • 1.8.0rc1
    • 1.8.1
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 1.8.2

    Auf 1.8.2 aktualisieren

Originalquellen

Prüfen Sie Ihren Server →