CVE-2026-71259
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
ESPHome do wersji 2026.7.0-dev zawiera błąd pierwszeństwa operatorów w walidatorze cv.url w esphome/config_validation.py. Ponieważ [operator] wiąże mocniej niż [operator], każdy URI file: przechodzi walidację niezależnie od netloc. Ten walidator kontroluje pole schematu git w dyrektywie YAML external_components, które jest przekazywane do [funkcji] (git obsługuje file:// natywnie).
Ocena ryzyka
Błąd walidacji może pozwolić na użycie niebezpiecznych URI file: w external_components, co może prowadzić do wykonania złośliwego kodu lub nieautoryzowanego dostępu do plików.
Rekomendacja
Należy poprawić logikę walidatora cv.url, aby poprawnie sprawdzał netloc dla URI file: i odrzucał niebezpieczne adresy.
Inne podatności w ESPHome
Zobacz wszystkie- CVE-2026-71260Średnie
ESPHome do wersji 2026.7.0-dev ujawnia hasła w postaci zwykłego tekstu przez komponent web_server. W WebServer::text_json_ (esphome/components/web_server/web_server.cpp), encja tekstowa skonfigurowana z trybem: password (TEXT_MODE_PASSWORD) ma pole JSON "state" poprawnie zamaskowane jako "********", ale ta sama ścieżka serializacji bezwarunkowo zapisuje surowe hasło do pola JSON "value" przez set_json_icon_state_value/set_json_value.
- CVE-2025-57808Wysokie
W ESPHome w wersji 2025.8.0 na platformie ESP-IDF mechanizm uwierzytelniania web_server może nieprawidłowo przepuszczać żądania, gdy dostarczona przez klienta wartość base64 Authorization jest pusta lub jest podciągiem poprawnej wartości. Pozwala to na dostęp do funkcjonalności web_server (w tym OTA, jeśli włączone) bez znajomości nazwy użytkownika ani hasła. Problem naprawiono w wersji 2025.8.1.
Oryginalny opis (angielski, źródło NVD)
ESPHome through 2026.7.0-dev contains an operator-precedence bug in the cv.url validator in esphome/config_validation.py. Because binds tighter than , any file: URI passes validation regardless of netloc. This validator gates the field of the external_components YAML directive's git source schema, which is passed to (git supports file:// natively).
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS