یک آسیب‌پذیری از نوع Insecure Direct Object Reference (IDOR) در نسخه‌های پیش از 0.9.8 از نرم‌افزار Xiaozhi-esp32-server شناسایی شده است. این نقص امنیتی در بخش manager-api و در هندلر DeviceController.getAddressBook قرار دارد.
این آسیب‌پذیری به کاربران احراز هویت شده (Authenticated Users) اجازه می‌دهد تا به دفترچه مخاطبین دستگاه‌های سایر کاربران دسترسی پیدا کنند. مهاجمانی که دارای یک حساب کاربری معمولی یا خود-ثبت‌نام شده هستند، می‌توانند با ارسال درخواست به مسیر /device/address-book/{macAddress} و جایگزینی آدرس MAC متعلق به یک دستگاه دیگر، اطلاعات حساس زیر را استخراج کنند:
- آدرس‌های MAC مخاطبان (Contact MACs)
- نام‌های مستعار (Aliases)
- مجوزهای تماس (Call permissions)
- شناسه کاربری مالک (Owner user IDs)
