CVE-2026-64823
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Home Assistant Core przed wersją 2026.5.4 zawiera podatność na cross-site scripting (XSS) w metodzie `async_get_media_image()` integracji Shelly. Atakujący kontrolujący pole `thumb` urządzenia Shelly może dostarczyć dowolną treść HTML, używając data URI z typem `text/html`, bez walidacji względem dozwolonych tylko obrazów. Pozwala to na kradzież tokenów sesji i wykonywanie uwierzytelnionych wywołań do wrażliwych punktów końcowych, takich jak blokady, alarmy i osłony.
Ocena ryzyka
Atakujący może ukraść tokeny sesji użytkowników Home Assistant i wykonywać nieautoryzowane działania, takie jak odblokowywanie zamków, wyłączanie alarmów lub sterowanie osłonami, co stanowi poważne ryzyko dla bezpieczeństwa fizycznego i danych.
Rekomendacja
Zaktualizuj Home Assistant Core do wersji 2026.5.4 lub nowszej, która zawiera poprawkę.
Inne podatności w Home Assistant Core
Zobacz wszystkie- CVE-2026-64825Krytyczne
Home Assistant Core przed wersją 2026.6.0 zawiera podatność na przechodzenie po ścieżkach, która pozwala nieuwierzytelnionym atakującym na zapis dowolnych plików w dowolnych katalogach systemu plików hosta poprzez przesłanie spreparowanego archiwum kopii zapasowej podczas początkowego okna konfiguracji. Atakujący mogą manipulować polem 'name' w przesłanym archiwum backup.json, aby podać ścieżkę absolutną, co powoduje, że pathlib.Path.__truediv__ odrzuca skonfigurowany prefiks katalogu kopii zapasowej i zapisuje treść kontrolowaną przez atakującego w dowolnych lokalizacjach, z pełnym dostępem do systemu plików, gdy proces działa jako root.
- CVE-2026-64824Wysokie
Podatność typu path traversal w funkcji przywracania kopii zapasowej Home Assistant Core przed wersją 2026.7.0 umożliwia atakującym zapis plików do dowolnych ścieżek bezwzględnych poprzez dostarczenie spreparowanego archiwum tar z wpisem SYMTYPE. Ze względu na uruchamianie procesu jako root w oficjalnym obrazie Docker, atakujący mogą uzyskać zdalne wykonanie kodu poprzez nadpisanie autoimportowanych ścieżek Pythona, takich jak site-packages/sitecustomize.py.
Oryginalny opis (angielski, źródło NVD)
Home Assistant Core before 2026.5.4 contains a cross-site scripting vulnerability in the Shelly integration's async_get_media_image() method that allows attackers controlling a Shelly device's thumb field to serve arbitrary HTML content by supplying a data URI with a text/html content type without validation against an image-only allowlist. Attackers can cause the media player proxy endpoint to serve attacker-controlled bytes with Content-Type text/html in the Home Assistant web origin, enabling theft of session tokens from local storage and authenticated calls to sensitive service endpoints including lock, alarm, and cover controls.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS