EnergizeLab Eilik: Unauthentifizierter Path Traversal ermöglicht beliebiges Schreiben von Dateien
Zusammenfassung
Der AI-Skill-Upload-Endpunkt der Roboter Eilik und EilikO, der von den FastAPI-Diensten für AI-Inferenz und Profiling bereitgestellt wird, erfordert keine Authentifizierung und beschränkt die Pfade hochgeladener Dateien nicht. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann mittels Path Traversal beliebige Dateien auf dem Server schreiben. Dadurch können die AI-Skill-Dateien manipuliert werden, welche das Verhalten der Roboter Eilik und EilikO steuern.
Betroffen
- Roboter EnergizeLab Eilik und EilikO sowie die zugehörigen FastAPI-Dienste für AI-Inferenz und Profiling
- Betroffene Versionen: Unbekannt.
Behoben in
Unbekannt.
Umgehung
- Roboter und deren Backend-Dienste nicht aus dem öffentlichen Internet erreichbar machen.
- Den AI-Skill-Upload-Endpunkt an der Netzwerkgrenze blockieren.
- Vor einer Wiederaktivierung der Sprach- und Chatfunktionen bei EnergizeLab eine Korrektur anfragen.
Ausnutzung
- Nicht bekannt, dass die Schwachstelle aktiv ausgenutzt wird (CISA SSVC: Exploitation none, Automatable yes).
- Ein öffentlicher Proof of Concept wird vom Forscher gemeldet, ist jedoch nicht verifiziert.
- VulDB stuft die Ausnutzbarkeit als einfach ein; die CVE ist nicht in KEV gelistet.
Unsere Empfehlung
- Prüfen, ob in Ihrer Organisation Roboter Eilik oder EilikO eingesetzt werden, beispielsweise in Schulen, Betreuungseinrichtungen oder Empfangsbereichen.
- Betroffene Roboter und Backend-Dienste vom Internet isolieren und den Upload-Endpunkt blockieren.
- Bei EnergizeLab eine Sicherheitsmitteilung und korrigierte Firmware- beziehungsweise Backend-Versionen anfordern und auf Updates achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub repository xn0tsa/your-secrets-are-safe-with-me github.com
- TakeOnMe GCVE reference takeonme.org
- The Verge: Eiliko robot hack www.theverge.com
- VulDB entry 420897 vuldb.com
- OpenCVE CVE-2026-105032 app.opencve.io
- TakeOnMe advisory takeonme.org
- Strix CVE-2026-105032 www.strix.ai
- ThreatInt CVE-2026-105032 cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 06:27.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.