JFrog研究人员披露Reachy Mini机器人可被单个HTTP请求劫持

JFrog安全研究团队在对Pollen Robotics开源AI机器人Reachy Mini的审计中发现，其守护进程在0.0.0.0:8000上无认证暴露，结合CORS通配、任意pip install与无密码sudo等问题，攻击者可通过少量HTTP请求获得远程代码执行并提权至root。JFrog表示已向厂商报告，并公布了多个CVE编号及披露时间线。