Unitree Go2 CVE-2026-115995: chat_go Bileşenindeki Komut Enjeksiyonu Nedir?

CVE-2026-115995, 24 Ekim 2026'da yayımlanan kayda göre Unitree Go2 robotunun 1.1.11.4'e kadar olan yazılımlarında chat_go bileşenindeki gpt_thread.py dosyasının set_volume fonksiyonunda bir işletim sistemi komut enjeksiyonunu tanımlıyor; kayıt, 1.1.11.5 sürümüne yükseltmenin sorunu çözdüğünü belirtiyor.

Bu sayfa CVE kayıt verisinin (CVE Services) ve VulDB girişinin okunmasına dayanır; haber sitelerinden çeviri yapılmamıştır. CVE kaydını atayan kuruluş (CNA) VulDB'dir, dolayısıyla 9.6 puanı NVD'nin değil VulDB'nin hesabıdır. Komut enjeksiyonu, bir uygulamanın kullanıcıdan gelen değeri yeterince denetlemeden işletim sistemi komutuna katması sonucu saldırganın komut çalıştırabilmesidir.

Künye

Kayıt Ne Söylüyor?

Kayda göre sorun, set_volume fonksiyonundaki "value" argümanının manipüle edilmesiyle tetikleniyor ve uzaktan sömürülebilir olarak tanımlanıyor. VulDB'nin CVSS 3.1 vektöründe ağ üzerinden erişim (AV:N), kimlik doğrulama gerektirmeme (PR:N) ve kullanıcı etkileşimi gerekliliği (UI:R) yer alıyor. Aynı kayıtta CVSS 4.0 için 9.4 değeri veriliyor.

VulDB, açığın üretici tarafından onaylandığını (vendor confirmed) yazıyor ve gönderimin Unitree'nin iç bilet kaydıyla eşleştiğini belirtiyor. Kayıt, 1.1.11.5 sürümüne yükseltmenin sorunu çözdüğünü söylüyor ve Unitree'nin GO2 Edu Max Pro X firmware paketine bağlantı veriyor. Bileşen adı "chat_go", dosya adı "gpt_thread.py"dir; modülün resmî işlevi birincil kayıtta anlatılmadığı için "yapay zekâ sohbet modülü" gibi bir tanım yazılmamıştır.

Puan Nasıl Okunmalı?

CVSS puanı, bir açığın teknik ciddiyetini ölçer; tek başına gerçek dünyadaki risk ya da sahada sömürü anlamına gelmez. Kayıttaki "E:X" değeri sömürü kanıtının belirtilmediğini gösterir. Güncel yazılım sürümlerini izlemek için sitemizdeki PHP kritik güvenlik sürümleri sayfasına da bakabilirsiniz.

Bu Sayfada Ne Yok?

• Unitree'nin kendi güvenlik duyurusu: bulunamadığı için yazılmamıştır; yalnızca VulDB'nin "vendor confirmed" ifadesi vardır.
• NVD girişi ve NVD'nin kendi puanı: sayfa içeriği okunamadığı için yazılmamıştır.
• Sahada sömürü: kayıtta kanıt belirtilmediği için "sömürülüyor" ya da "sömürülmüyor" denmemiştir.
• Hangi Go2 modellerinin etkilendiği: kayıtta yalnızca bir firmware paketi anıldığı için tüm modeller etkilenir denmemiştir.
• Saldırının pratik koşulları: kullanıcı etkileşimi ve ağ erişiminin ayrıntısı kayıtta verilmediği için yazılmamıştır.
• Yakın numaralı başka bir kayıt: doğrulanmadığı için bu sayfada kullanılmamıştır.
• Güncelleme adımları: Unitree'nin kendi yönergesi esas alınmalıdır.

Sık Sorulan Sorular

Hangi sürümler etkileniyor?

Kayda göre 1.1.11.0 ile 1.1.11.4 arası; 1.1.11.5 etkilenmeyen sürüm olarak belirtiliyor.

9.6 puanını kim verdi?

Puan, kaydı atayan VulDB'ye aittir; NVD'nin ayrı bir puanı bu sayfada doğrulanmamıştır.

Açık sahada kullanılıyor mu?

Kayıtta sömürü kanıtı belirtilmiyor; bu nedenle bir yargı verilmemiştir.

Düzeltme var mı?

Kayıt, 1.1.11.5 sürümüne yükseltmenin sorunu çözdüğünü söylüyor.

Saldırı için kullanıcı etkileşimi gerekir mi?

VulDB'nin CVSS vektöründe UI:R yer alıyor, yani kullanıcı etkileşimi gerektiği belirtiliyor.

Kaynak ve kapsam: CVE kayıt verisi CVE-2026-115995 (CVE Services, 24 Ekim 2026); VulDB girişi VDB-426093. Unitree duyurusu, NVD puanı, sömürü durumu, etkilenen model listesi ve saldırı koşulları doğrulanamadığı için yazılmamıştır.