CVE-2026-59717
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Home Assistant przed wersją 2026.6.1 ma podatność na otwarte przekierowanie w aplikacji Android Companion. Aplikacja przekazuje fragment URL z deep linku homeassistant://invite do procesu onboardingu bez wyświetlania docelowego hosta, co pozwala atakującemu na stworzenie fałszywego zaproszenia prowadzącego do wyłudzenia danych logowania.
Ocena ryzyka
Ryzyko obejmuje możliwość kradzieży danych uwierzytelniających nowych użytkowników poprzez fałszywe strony logowania, co może prowadzić do przejęcia konta.
Rekomendacja
Zaleca się aktualizację aplikacji Android Companion do wersji 2026.6.1 lub nowszej. Należy również edukować użytkowników o ryzyku związanym z linkami zaproszeń.
Inne podatności w Home Assistant
Zobacz wszystkie- CVE-2026-91130Krytyczne
W Home Assistant przed wersją 2026.7.0 karta Statistics Graph przekazywała nazwy encji przez getStatisticLabel i computeStateName oraz interpolowała param.seriesName do HTML podpowiedzi ECharts bez escapowania. Uwierzytelniony użytkownik lub integracja dostarczająca złośliwą domyślną nazwę encji mogła spowodować wykonanie skryptowego HTML przy najechaniu na punkt danych.
- CVE-2026-91129Średnie
Home Assistant to oprogramowanie automatyki domowej open source skoncentrowane na lokalnej kontroli i prywatności. Przed wersją 2026.2.3 integracja IPP automatycznie przetwarzała nieuwierzytelnione ogłoszenia mDNS _ipp._tcp.local w homeassistant/components/ipp/config_flow.py, gdzie async_step_zeroconf przekazywał kontrolowane przez atakującego wartości host, port i base_path do validate_input w celu pobrania metadanych drukarki. Ponieważ współdzielony klient HTTP podążał za kontrolowanymi przez atakującego przekierowaniami między domenami bez blokowania celów loopback, atakujący w sieci lokalnej mógł przekierować żądanie do 127.0.0.1 lub innej usługi wewnętrznej bez interakcji użytkownika lub wcześniejszej konfiguracji IPP. Problem naprawiono w wersji 2026.2.3.
- CVE-2026-66061Wysokie
Przed wersją 2026.5.0 aplikacja towarzysząca Home Assistant dla systemu iOS traktuje linki tagów (NFC lub QR) dostarczane przez mechanizm routingu systemowego, takie jak uniwersalne linki iOS, tak jakby zostały fizycznie zeskanowane, bez weryfikacji aplikacji wywołującej lub monitowania użytkownika. W rezultacie każda niezaufana aplikacja na urządzeniu może przekazać dowolny tag do Home Assistant, powodując wykonanie powiązanej automatyzacji, jakby to uprawniony użytkownik zeskanował autoryzowany tag. Umożliwia to ciche, bezobsługowe wykonywanie automatyzacji przez niezaufanych lokalnych wywołujących. Problem został naprawiony w wersji 2026.5.0.
- CVE-2026-66060Wysokie
Przed wersją 2026.5.3 aplikacja towarzysząca Home Assistant traktuje linki tagów (NFC lub QR) dostarczane przez mechanizm routingu systemowego tak, jakby zostały fizycznie zeskanowane, bez weryfikacji aplikacji wywołującej lub monitowania użytkownika. W rezultacie każda niezaufana aplikacja na urządzeniu może przekazać dowolny tag do Home Assistant, powodując wykonanie powiązanej automatyzacji, jakby to uprawniony użytkownik zeskanował autoryzowany tag. Umożliwia to ciche, bezobsługowe wykonywanie automatyzacji przez niezaufanych lokalnych wywołujących. Problem został naprawiony w wersji 2026.8.1.
- CVE-2026-55844Wysokie
Aplikacja towarzysząca Home Assistant na iOS ignoruje listę dozwolonych SSID dla sieci wewnętrznych. Gdy nie znajdzie innego adresu URL, używa wewnętrznego, co może ujawnić token użytkownika w niezabezpieczonej sieci.
- CVE-2025-62172Wysokie
Home Assistant to oprogramowanie automatyki domowej typu open source. W wersjach 2025.1.0 do 2025.10.1 panel energii jest podatny na trwały cross-site scripting. Uwierzytelniony użytkownik może wstrzyknąć złośliwy kod JavaScript do pola nazwy encji energetycznej, który jest wykonywany, gdy jakikolwiek użytkownik najeżdża na punkty danych w etykietach narzędziowych wykresu panelu energii. Podatność istnieje, ponieważ nazwy encji zawierające HTML nie są odpowiednio sanityzowane przed renderowaniem w etykietach narzędziowych. Może to pozwolić atakującemu z uwierzytelnieniem na wykonanie dowolnego JavaScript w kontekście sesji innych użytkowników. Dodatkowo, jeśli dostawca energii (np. Tibber) dostarczy złośliwą domyślną nazwę encji, podatność może być wykorzystana bez bezpośredniego działania użytkownika. Problem został załatany w wersji 2025.10.2.
Oryginalny opis (angielski, źródło NVD)
Home Assistant is open source home automation software focused on local control and privacy. Prior to 2026.6.1, the Android Companion app is vulnerable to an open redirect. The app passes the URL fragment from a homeassistant://invite deep link into the onboarding flow without ever displaying the destination hostname. Because no screen in the invitation or onboarding flow shows the parsed server URL before onboarding commits to it, a victim has no way to distinguish a legitimate invite from a malicious one. An attacker can craft an invite so that a single tap on the legitimate-looking "Connect to my Home Assistant server" button opens their /auth/authorize endpoint in the URL-less onboarding WebView, presenting a look-alike login page that captures the victim's credentials. Since invitations are intended to onboard brand-new users, targets are especially unlikely to notice the substitution. This issue is fixed in version 2026.6.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS