CVE-2026-45323
KrytyczneCVSS 9.6Streszczenie
Karta MeshCore Lovelace dla Home Assistant przed wersją 0.3.3 renderuje nazwy węzłów bez ucieczki HTML, co pozwala na wykonanie dowolnego kodu JavaScript w interfejsie Home Assistant przez węzły znajdujące się w zasięgu radiowym. Ta podatność została naprawiona w wersji 0.3.3.
Ocena ryzyka
Organizacja może być narażona na ataki, które umożliwiają wykonanie złośliwego kodu JavaScript, co może prowadzić do kradzieży danych lub przejęcia kontroli nad interfejsem użytkownika Home Assistant.
Rekomendacja
Zaleca się aktualizację do wersji 0.3.3 lub nowszej, aby usunąć tę podatność i zabezpieczyć system przed potencjalnymi atakami.
Oryginalny opis (angielski, źródło NVD)
MeshCore Card provides MeshCore Lovelace card for Home Assistant. Prior to 0.3.3, Meshcore node names are rendered without HTML escaping in meshcore-card, allowing any node within direct or indirect (repeated) radio range to execute arbitrary javascript in the Home Assistant frontend of anyone viewing the card. This vulnerability is fixed in 0.3.3.