Podatności ESPHome

ESPHome do wersji 2026.7.0-dev ujawnia hasła w postaci zwykłego tekstu przez komponent web_server. W WebServer::text_json_ (esphome/components/web_server/web_server.cpp), encja tekstowa skonfigurowana z trybem: password (TEXT_MODE_PASSWORD) ma pole JSON "state" poprawnie zamaskowane jako "********", ale ta sama ścieżka serializacji bezwarunkowo zapisuje surowe hasło do pola JSON "value" przez set_json_icon_state_value/set_json_value.

ESPHome do wersji 2026.7.0-dev zawiera błąd pierwszeństwa operatorów w walidatorze cv.url w esphome/config_validation.py. Ponieważ [operator] wiąże mocniej niż [operator], każdy URI file: przechodzi walidację niezależnie od netloc. Ten walidator kontroluje pole schematu git w dyrektywie YAML external_components, które jest przekazywane do [funkcji] (git obsługuje file:// natywnie).

W ESPHome w wersji 2025.8.0 na platformie ESP-IDF mechanizm uwierzytelniania web_server może nieprawidłowo przepuszczać żądania, gdy dostarczona przez klienta wartość base64 Authorization jest pusta lub jest podciągiem poprawnej wartości. Pozwala to na dostęp do funkcjonalności web_server (w tym OTA, jeśli włączone) bez znajomości nazwy użytkownika ani hasła. Problem naprawiono w wersji 2025.8.1.