CVE-2026-32111
Təsvir
ha-mcp bir Home Assistant MCP Serveridir. 7.0.0 versiyasından əvvəl, ha-mcp OAuth razılıq forması (beta funksiyası) istifadəçi tərəfindən təmin edilən ha_url dəyərini qəbul edir və heç bir URL validasiyası olmadan {ha_url}/api/config ünvanına server tərəfli HTTP sorğusu göndərir. Autentifikasiya olunmamış hücumçu, xəta oraklı vasitəsilə daxili şəbəkədə kəşfiyyat aparmaq üçün ixtiyari URL-lər təqdim edə bilər. OAuth alət çağırışlarındakı iki əlavə kod yolu (REST və WebSocket) eyni primitivdən təsirlənir. Əsas yerləşdirmə metodu (əvvəlcədən konfiqurasiya edilmiş HOMEASSISTANT_TOKEN ilə özəl URL) bu zəiflikdən təsirlənmir. Bu zəiflik 7.0.0 versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
- homeassistant-ai home_assistant_mcp_server7.0.0 və ya daha yeni versiya
- ha-mcp7.0.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| homeassistant-ai home_assistant_mcp_server | v < 7.0.0 | 7.0.0 |
| ha-mcpPyPI | v < 7.0.0 | 7.0.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.