p PatchFirst

CVE-2026-55419

CVE-2026-55419 · Reachy Mini: Unrestricted Upload of File with Dangerous Type

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

Reachy Mini is an SDK for controlling Reachy Mini robots. Prior to 1.8.2, the Reachy Mini daemon exposes the /api/media/sounds/upload endpoint implemented by the upload_sound method in src/reachy_mini/daemon/app/routers/media.py without authentication, file-extension checks, content validation, or size validation. The daemon binds to 0.0.0.0 by default and uses permissive CORS allow_origins=["*"], allowing an unauthenticated network attacker to upload arbitrary file types that are written to /tmp/reachy_mini_sounds/<original_filename>. Malicious files can compromise stored-data integrity and can serve as a foothold when combined with other vulnerabilities. This issue is fixed in version 1.8.2.

CVSS 5.3 · Moyenne · EPSS 0,5% · Correctif disponible

Publication
Mise à jour

Pile logicielle: python

Produits et versions concernés

  • reachy_mini

    Versions du logiciel
    • < 1.8.2: Concernée

    Aucun correctif publié

  • reachy-mini PyPI

    Versions du logiciel
    • 1.0.0
    • 1.0.0rc1
    • 1.0.0rc4
    • 1.0.0rc5
    • 1.1.0
    • 1.1.0rc3
    • 1.1.0rc4
    • 1.1.1
    • 1.1.2
    • 1.1.3
    • 1.1.4
    • 1.2.0
    • 1.2.0rc1
    • 1.2.1
    • 1.2.10
    • 1.2.11
    • 1.2.13
    • 1.2.2
    • 1.2.3
    • 1.2.3rc1
    • 1.2.4
    • 1.2.4rc1
    • 1.2.4rc2
    • 1.2.4rc3
    • 1.2.4rc4
    • 1.2.5
    • 1.2.5rc1
    • 1.2.5rc2
    • 1.2.5rc3
    • 1.2.5rc4
    • 1.2.6
    • 1.2.6rc1
    • 1.2.6rc2
    • 1.2.6rc3
    • 1.2.7
    • 1.2.7rc1
    • 1.2.7rc2
    • 1.2.8
    • 1.2.9
    • 1.3.0
    • 1.3.1
    • 1.4.0
    • 1.4.0.dev0
    • 1.4.1
    • 1.5.0
    • 1.5.1
    • 1.6.0
    • 1.6.1
    • 1.6.2
    • 1.6.3
    • 1.6.4
    • 1.7.0
    • 1.7.1
    • 1.7.2
    • 1.7.3
    • 1.8.0
    • 1.8.0rc1
    • 1.8.1
    Plages de versions concernées
    • ECOSYSTEM: < 1.8.2

    Mettez à jour vers 1.8.2

Sources originales

Vérifiez votre serveur →