CVE-2026-54317
Təsvir
Home Assistant yerli nəzarəti və məxfilikı ön plana çıxaran açıq mənbəli ev avtomatlaşdırma proqram təminatıdır. 2026.6.0 versiyasından əvvəl Konnected inteqrasiyası autentifikasiya tələb etmədiyi qeyd olunan (requires_auth = False) KonnectedView (homeassistant/components/konnected/__init__.py) adlı HTTP endpoint-i qeydiyyatdan keçirir. Həmin sətrin yanındakı şərhdə deyilir ki, autentifikasiya əvəzində "konfiqurasiyadan gələn access token vasitəsilə" həyata keçirilir. Bu vəd yalnız yarı doğrudur. Yazma sorğuları (POST və PUT) update_sensor() tərəfindən emal olunur və o, sorğunun Authorization: Bearer <token> başlığını inteqrasiyanın saxladığı access token-lərlə (hmac.compare_digest istifadə etməklə) müqayisə edir. Oxuma sorğuları (GET) isə heç bir autentifikasiya yoxlaması olmayan ayrıca get() metodu tərəfindən emal olunur. Bu zəiflik 2026.6.0 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- homeassistant2026.6.0 və ya daha yeni versiya
- home-assistant home-assistant2026.6.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| homeassistantPyPI | v < 2026.6.0 | 2026.6.0 |
| home-assistant home-assistant | v < 2026.6.0 | 2026.6.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.