CVE-2026-45323
CriticalCVSS 9.6Summary
Karta MeshCore Lovelace dla Home Assistant przed wersją 0.3.3 renderuje nazwy węzłów bez ucieczki HTML, co pozwala na wykonanie dowolnego kodu JavaScript w interfejsie Home Assistant przez węzły znajdujące się w zasięgu radiowym. Ta podatność została naprawiona w wersji 0.3.3.
Risk Assessment
Organizacja może być narażona na ataki, które umożliwiają wykonanie złośliwego kodu JavaScript, co może prowadzić do kradzieży danych lub przejęcia kontroli nad interfejsem użytkownika Home Assistant.
Recommendation
Zaleca się aktualizację do wersji 0.3.3 lub nowszej, aby usunąć tę podatność i zabezpieczyć system przed potencjalnymi atakami.
Original NVD description (English source)
MeshCore Card provides MeshCore Lovelace card for Home Assistant. Prior to 0.3.3, Meshcore node names are rendered without HTML escaping in meshcore-card, allowing any node within direct or indirect (repeated) radio range to execute arbitrary javascript in the Home Assistant frontend of anyone viewing the card. This vulnerability is fixed in 0.3.3.