CVE-2026-66061
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
Przed wersją 2026.5.0 aplikacja towarzysząca Home Assistant dla systemu iOS traktuje linki tagów (NFC lub QR) dostarczane przez mechanizm routingu systemowego, takie jak uniwersalne linki iOS, tak jakby zostały fizycznie zeskanowane, bez weryfikacji aplikacji wywołującej lub monitowania użytkownika. W rezultacie każda niezaufana aplikacja na urządzeniu może przekazać dowolny tag do Home Assistant, powodując wykonanie powiązanej automatyzacji, jakby to uprawniony użytkownik zeskanował autoryzowany tag. Umożliwia to ciche, bezobsługowe wykonywanie automatyzacji przez niezaufanych lokalnych wywołujących. Problem został naprawiony w wersji 2026.5.0.
Ocena ryzyka
Niezaufana aplikacja na urządzeniu użytkownika może wykonać automatyzacje w Home Assistant bez wiedzy i zgody użytkownika, co może prowadzić do nieautoryzowanych działań, takich jak otwieranie drzwi czy wyłączanie alarmów.
Rekomendacja
Zaktualizuj aplikację towarzyszącą Home Assistant do wersji 2026.5.0 lub nowszej, aby wyeliminować podatność.
Inne podatności w Home Assistant
Zobacz wszystkie- CVE-2026-66060Wysokie
Przed wersją 2026.5.3 aplikacja towarzysząca Home Assistant traktuje linki tagów (NFC lub QR) dostarczane przez mechanizm routingu systemowego tak, jakby zostały fizycznie zeskanowane, bez weryfikacji aplikacji wywołującej lub monitowania użytkownika. W rezultacie każda niezaufana aplikacja na urządzeniu może przekazać dowolny tag do Home Assistant, powodując wykonanie powiązanej automatyzacji, jakby to uprawniony użytkownik zeskanował autoryzowany tag. Umożliwia to ciche, bezobsługowe wykonywanie automatyzacji przez niezaufanych lokalnych wywołujących. Problem został naprawiony w wersji 2026.8.1.
- CVE-2026-59717Średnie
Home Assistant przed wersją 2026.6.1 ma podatność na otwarte przekierowanie w aplikacji Android Companion. Aplikacja przekazuje fragment URL z deep linku homeassistant://invite do procesu onboardingu bez wyświetlania docelowego hosta, co pozwala atakującemu na stworzenie fałszywego zaproszenia prowadzącego do wyłudzenia danych logowania.
- CVE-2026-55844Wysokie
Aplikacja towarzysząca Home Assistant na iOS ignoruje listę dozwolonych SSID dla sieci wewnętrznych. Gdy nie znajdzie innego adresu URL, używa wewnętrznego, co może ujawnić token użytkownika w niezabezpieczonej sieci.
Oryginalny opis (angielski, źródło NVD)
Home Assistant is open source home automation software focused on local control and privacy. Prior to 2026.5.0, the iOS Companion app treats tag links (NFC or QR) delivered through an OS-level routing mechanism such as iOS universal links as if they were physically scanned, without validating the calling app or prompting the user. As a result, any untrusted app on the device can forward an arbitrary tag to Home Assistant, causing it to execute the associated automation as though a legitimate user had scanned an authorized tag. This allows silent, unattended automation execution by untrusted local callers. This issue has been fixed in version 2026.5.0.