CVE-2023-41895

Home Assistant açıq mənbəli ev avtomatlaşdırma sistemidir. Home Assistant giriş səhifəsi istifadəçilərə öz yerli Home Assistant etibarlılıq məlumatlarından istifadə edərək `redirect_uri` və `client_id` parametrləri təyin edilmiş başqa bir veb sayta daxil olmağa imkan verir. `redirect_uri` doğrulaması adətən onun `client_id` ilə uyğun olduğunu və sxemin `http` və ya `https` olduğunu təmin etsə də, Home Assistant `client_id`-ni əldə edir və səhifədəki `<link rel="redirect_uri" href="...">` HTML teqlərini yoxlayır. Bu URL-lər eyni sxem doğrulamasına məruz qalmır və beləliklə, `javascript:` sxemli URI-lərin istifadəsi vasitəsilə Home Assistant inzibatçılıq səhifəsində ixtiyari JavaScript kodunun icrasına şərait yaradır. Bu saytlararası skriptinq (XSS) boşluğu Home Assistant frontend domenində icra edilə bilər ki, bu da Home Assistant hesabının və quraşdırılmasının tam ələ keçirilməsi üçün istifadə oluna bilər. Bu problem 2023.9.0 versiyasında aradan qaldırılmışdır və bütün istifadəçilərə yeniləmə etmək tövsiyə olunur. Bu boşluq üçün məlum olan heç bir alternativ həll yolu yoxdur.