CVE-2026-64825
KrytyczneCVSS 9.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
Home Assistant Core przed wersją 2026.6.0 zawiera podatność na przechodzenie po ścieżkach, która pozwala nieuwierzytelnionym atakującym na zapis dowolnych plików w dowolnych katalogach systemu plików hosta poprzez przesłanie spreparowanego archiwum kopii zapasowej podczas początkowego okna konfiguracji. Atakujący mogą manipulować polem 'name' w przesłanym archiwum backup.json, aby podać ścieżkę absolutną, co powoduje, że pathlib.Path.__truediv__ odrzuca skonfigurowany prefiks katalogu kopii zapasowej i zapisuje treść kontrolowaną przez atakującego w dowolnych lokalizacjach, z pełnym dostępem do systemu plików, gdy proces działa jako root.
Ocena ryzyka
Ryzyko dla organizacji obejmuje możliwość całkowitego przejęcia kontroli nad systemem, ponieważ nieuwierzytelniony atakujący może nadpisać krytyczne pliki systemowe, dodać złośliwe skrypty lub zmodyfikować konfigurację, co prowadzi do naruszenia integralności i poufności danych oraz potencjalnego przejęcia hosta.
Rekomendacja
Należy natychmiast zaktualizować Home Assistant Core do wersji 2026.6.0 lub nowszej. Jeśli aktualizacja nie jest możliwa, należy tymczasowo wyłączyć funkcję przywracania kopii zapasowych podczas początkowego okna konfiguracji lub ograniczyć dostęp do interfejsu sieciowego tylko do zaufanych adresów IP.
Inne podatności w Home Assistant Core
Zobacz wszystkie- CVE-2026-64824Wysokie
Podatność typu path traversal w funkcji przywracania kopii zapasowej Home Assistant Core przed wersją 2026.7.0 umożliwia atakującym zapis plików do dowolnych ścieżek bezwzględnych poprzez dostarczenie spreparowanego archiwum tar z wpisem SYMTYPE. Ze względu na uruchamianie procesu jako root w oficjalnym obrazie Docker, atakujący mogą uzyskać zdalne wykonanie kodu poprzez nadpisanie autoimportowanych ścieżek Pythona, takich jak site-packages/sitecustomize.py.
- CVE-2026-64823Średnie
Home Assistant Core przed wersją 2026.5.4 zawiera podatność na cross-site scripting (XSS) w metodzie `async_get_media_image()` integracji Shelly. Atakujący kontrolujący pole `thumb` urządzenia Shelly może dostarczyć dowolną treść HTML, używając data URI z typem `text/html`, bez walidacji względem dozwolonych tylko obrazów. Pozwala to na kradzież tokenów sesji i wykonywanie uwierzytelnionych wywołań do wrażliwych punktów końcowych, takich jak blokady, alarmy i osłony.
Oryginalny opis (angielski, źródło NVD)
Home Assistant Core before 2026.6.0 contains a path traversal vulnerability that allows unauthenticated attackers to write arbitrary files to any directory on the host filesystem by uploading a crafted backup archive during the initial onboarding window. Attackers can manipulate the 'name' field inside the uploaded archive's backup.json to supply an absolute path, causing pathlib.Path.__truediv__ to discard the configured backup directory prefix and write attacker-controlled content to arbitrary locations, with full filesystem access when the process runs as root.