以下是该网页截图中关于漏洞的关键信息汇总，以简洁的markdown格式呈现： 漏洞信息 漏洞编号: ZDI-CAN-28235 CVE ID: CVE-2026-26975 CVSS v3 基本指标: - 攻击向量: 相邻 (AV:A) - 攻击复杂度: 低 (AC:L) - 必需的权限: 无 (PR:N) - 用户交互: 无 (UI:N) - 范围: 未改变 (S:U) - 机密性影响: 高 (C:H) - 完整性影响: 高 (I:H) - 可用性影响: 高 (A:H) - 总分: 8.8 / 10 受影响版本: 已修复版本: 严重性: 高 漏洞描述 概述 该漏洞允许网络相邻的攻击者在受影响的Music Assistant安装上执行任意代码。利用该漏洞无需身份验证。 细节 2.1 音乐助手远程代码执行 - 2.1.1 未受保护的服务暴露 - Music Assistant的Web界面通过8095端口暴露在网络中，即使作为Home Assistant Green设备的附加组件安装，也可以匿名访问。 - 2.1.2 任意文件写入 - 在本地文件系统提供程序中，音乐功能的实现允许用户更新播放列表详情，利用这一点可以向Python环境的 目录中的 文件写入任意内容，从而在Python环境启动时执行任意代码。 - 2.1.3 触发执行 - 攻击者可以通过配置新的YouTube Music提供程序触发 文件中代码的执行。 弱点 CWE-73: 外部控制文件名或路径