CVE-2026-23833 (CNNVD-202601-3022)

LOW
中文标题:
ESPHome 输入验证错误漏洞
英文标题:
ESPHome vulnerable to denial-of-service via out-of-bounds check bypass in the API component
CVSS分数: 1.7
发布时间: 2026-01-19 17:58:50
漏洞类型: 输入验证错误
状态: PUBLISHED
数据质量分数: 0.40
数据版本: v3
漏洞描述
中文描述:

ESPHome是ESPHome开源的一个配置、管理智能硬件的系统。用于控制Esp8266/Esp32硬件，实现家庭自动化控制。 ESPHome 2025.9.0版本至2025.12.6版本存在输入验证错误漏洞，该漏洞源于API组件的protobuf解码器存在整数溢出，可能导致绕过越界检查并引发拒绝服务攻击。

英文描述:

ESPHome is a system to control microcontrollers remotely through Home Automation systems. In versions 2025.9.0 through 2025.12.6, an integer overflow in the API component's protobuf decoder allows denial-of-service attacks when API encryption is not used. The bounds check `ptr + field_length > end` in `components/api/proto.cpp` can overflow when a malicious client sends a large `field_length` value. This affects all ESPHome device platforms (ESP32, ESP8266, RP2040, LibreTiny). The overflow bypasses the out-of-bounds check, causing the device to read invalid memory and crash. When using the plaintext API protocol, this attack can be performed without authentication. When noise encryption is enabled, knowledge of the encryption key is required. Users should upgrade to ESPHome 2025.12.7 or later to receive a patch, enable API encryption with a unique key per device, and follow the Security Best Practices.

CWE类型:
CWE-190
标签:
（暂无数据）
受影响产品
厂商 产品 版本 版本范围 平台 CPE
esphome esphome >= 2025.9.0, < 2025.12.7 - - cpe:2.3:a:esphome:esphome:>=_2025.9.0,_<_2025.12.7:*:*:*:*:*:*:*
解决方案
中文解决方案:
（暂无数据）
英文解决方案:
（暂无数据）
临时解决方案:
（暂无数据）
参考链接
https://github.com/esphome/esphome/security/advisories/GHSA-4h3h-63v6-88qx x_refsource_CONFIRM
cve.org
访问
https://github.com/esphome/esphome/pull/13306 x_refsource_MISC
cve.org
访问
https://github.com/esphome/esphome/commit/69d7b6e9210390051318bd8e6410727689de08d6 x_refsource_MISC
cve.org
访问
https://esphome.io/guides/security_best_practices x_refsource_MISC
cve.org
访问
CVSS评分详情
4.0 (cna)
LOW
1.7
CVSS向量: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N/E:U
机密性
NONE
完整性
NONE
可用性
LOW
后续系统影响 (Subsequent):
机密性
NONE
完整性
NONE
可用性
NONE
时间信息
发布时间:
2026-01-19 17:58:50
修改时间:
2026-01-19 17:58:50
创建时间:
2026-01-20 03:10:35
更新时间:
2026-01-27 06:00:17
利用信息
暂无可利用代码信息
数据源详情
数据源 记录ID 版本 提取时间
CVE cve_CVE-2026-23833 2026-01-20 02:19:58 2026-01-19 19:10:35
NVD nvd_CVE-2026-23833 2026-01-20 03:00:05 2026-01-19 19:10:38
CNNVD cnnvd_CNNVD-202601-3022 2026-01-26 02:10:02 2026-01-25 18:11:53
版本与语言
当前版本: v3
主要语言: EN
支持语言:
EN ZH
安全公告
暂无安全公告信息
变更历史
v3 CNNVD
2026-01-26 02:11:53
vulnerability_type: 未提取 → 输入验证错误; cnnvd_id: 未提取 → CNNVD-202601-3022; data_sources: ['cve', 'nvd'] → ['cnnvd', 'cve', 'nvd']
查看详细变更
  • vulnerability_type: 未提取 -> 输入验证错误
  • cnnvd_id: 未提取 -> CNNVD-202601-3022
  • data_sources: ['cve', 'nvd'] -> ['cnnvd', 'cve', 'nvd']
v2 NVD
2026-01-20 03:10:38
data_sources: ['cve'] → ['cve', 'nvd']
查看详细变更
  • data_sources: ['cve'] -> ['cve', 'nvd']