p PatchFirst

CVE-2021-41104

CVE-2021-41104 · web_server allows OTA update without checking user defined basic auth username & password

This page contains facts from public vulnerability sources. Check the original advisory before updating.

ESPHome is a system to control the ESP8266/ESP32. Anyone with web_server enabled and HTTP basic auth configured on version 2021.9.1 or older is vulnerable to an issue in which `web_server` allows over-the-air (OTA) updates without checking user defined basic auth username & password. This issue is patched in version 2021.9.2. As a workaround, one may disable or remove `web_server`.

CVSS 7.5 · High · EPSS 1.2% · Fix available

Published
Updated

Stack: python

Affected products and versions

  • esphome

    Versions
    • < 2021.9.2: Affected

    No fix published

  • esphome PyPI

    Versions
    • 1.10.1
    • 1.11.0
    • 1.11.0b1
    • 1.11.0b2
    • 1.11.0b3
    • 1.11.1
    • 1.11.2
    • 1.12.0
    • 1.12.0b1
    • 1.12.0b2
    • 1.12.0b3
    • 1.12.0b4
    • 1.12.1
    • 1.12.2
    • 1.13.0
    • 1.13.0b1
    • 1.13.0b2
    • 1.13.0b3
    • 1.13.0b4
    • 1.13.0b5
    • 1.13.0b6
    • 1.13.0b7
    • 1.13.1
    • 1.13.2
    • 1.13.3
    • 1.13.4
    • 1.13.5
    • 1.13.6
    • 1.14.0
    • 1.14.0b1
    • 1.14.0b2
    • 1.14.0b3
    • 1.14.0b4
    • 1.14.0b5
    • 1.14.1
    • 1.14.2
    • 1.14.3
    • 1.14.4
    • 1.14.5
    • 1.15.0
    • 1.15.0b1
    • 1.15.0b2
    • 1.15.0b3
    • 1.15.0b4
    • 1.15.1
    • 1.15.2
    • 1.15.3
    • 1.16.0
    • 1.16.0b1
    • 1.16.0b2
    • 1.16.0b3
    • 1.16.0b4
    • 1.16.0b5
    • 1.16.0b6
    • 1.16.0b7
    • 1.16.0b8
    • 1.16.1
    • 1.16.2
    • 1.17.0
    • 1.17.0b1
    • 1.17.1
    • 1.17.2
    • 1.18.0
    • 1.18.0b1
    • 1.18.0b2
    • 1.18.0b3
    • 1.18.0b4
    • 1.19.0
    • 1.19.0b1
    • 1.19.0b2
    • 1.19.0b3
    • 1.19.0b4
    • 1.19.0b5
    • 1.19.0b6
    • 1.19.0b7
    • 1.19.1
    • 1.19.2
    • 1.19.3
    • 1.19.4
    • 1.20.0
    • 1.20.0b1
    • 1.20.0b2
    • 1.20.0b3
    • 1.20.0b4
    • 1.20.0b5
    • 1.20.0b6
    • 1.20.1
    • 1.20.2
    • 1.20.3
    • 1.20.4
    • 1.21.0b1
    • 1.21.0b2
    • 1.21.0b3
    • 2021.8.0
    • 2021.8.1
    • 2021.8.2
    • 2021.9.0
    • 2021.9.0b1
    • 2021.9.0b2
    • 2021.9.0b3
    • 2021.9.0b4
    • 2021.9.0b5
    • 2021.9.1
    Affected ranges
    • ECOSYSTEM: < 2021.9.2

    Update to 2021.9.2

  • esphome PyPI

    Versions
    • 1.10.1
    • 1.11.0
    • 1.11.0b1
    • 1.11.0b2
    • 1.11.0b3
    • 1.11.1
    • 1.11.2
    • 1.12.0
    • 1.12.0b1
    • 1.12.0b2
    • 1.12.0b3
    • 1.12.0b4
    • 1.12.1
    • 1.12.2
    • 1.13.0
    • 1.13.0b1
    • 1.13.0b2
    • 1.13.0b3
    • 1.13.0b4
    • 1.13.0b5
    • 1.13.0b6
    • 1.13.0b7
    • 1.13.1
    • 1.13.2
    • 1.13.3
    • 1.13.4
    • 1.13.5
    • 1.13.6
    • 1.14.0
    • 1.14.0b1
    • 1.14.0b2
    • 1.14.0b3
    • 1.14.0b4
    • 1.14.0b5
    • 1.14.1
    • 1.14.2
    • 1.14.3
    • 1.14.4
    • 1.14.5
    • 1.15.0
    • 1.15.0b1
    • 1.15.0b2
    • 1.15.0b3
    • 1.15.0b4
    • 1.15.1
    • 1.15.2
    • 1.15.3
    • 1.16.0
    • 1.16.0b1
    • 1.16.0b2
    • 1.16.0b3
    • 1.16.0b4
    • 1.16.0b5
    • 1.16.0b6
    • 1.16.0b7
    • 1.16.0b8
    • 1.16.1
    • 1.16.2
    • 1.17.0
    • 1.17.0b1
    • 1.17.1
    • 1.17.2
    • 1.18.0
    • 1.18.0b1
    • 1.18.0b2
    • 1.18.0b3
    • 1.18.0b4
    • 1.19.0
    • 1.19.0b1
    • 1.19.0b2
    • 1.19.0b3
    • 1.19.0b4
    • 1.19.0b5
    • 1.19.0b6
    • 1.19.0b7
    • 1.19.1
    • 1.19.2
    • 1.19.3
    • 1.19.4
    • 1.20.0
    • 1.20.0b1
    • 1.20.0b2
    • 1.20.0b3
    • 1.20.0b4
    • 1.20.0b5
    • 1.20.0b6
    • 1.20.1
    • 1.20.2
    • 1.20.3
    • 1.20.4
    • 1.21.0b1
    • 1.21.0b2
    • 1.21.0b3
    • 2021.8.0
    • 2021.8.1
    • 2021.8.2
    • 2021.9.0
    • 2021.9.0b1
    • 2021.9.0b2
    • 2021.9.0b3
    • 2021.9.0b4
    • 2021.9.0b5
    • 2021.9.1
    Affected ranges
    • GIT: < 2234f6aacf8cc653307fed80f3750317a82c4f83
    • ECOSYSTEM: < 2021.9.2

    Update to 2021.9.2

Original sources

Check your server →