CVE-2026-59178

ESPHome Device Builder Dashboard, ESPHome ev idarəetmə proqram təminatı üçün bir paneldir. Versiya 1.0.12-dən əvvəl panel autentifikasiya məlumatlarını `$ESPHOME_USERNAME` və `$ESPHOME_PASSWORD` dəyişənlərindən oxuyur. Əvvəlki versiyalar və köhnə `esphome` paneli isə bunun əvəzinə sadəcə `$USERNAME` və `$PASSWORD` dəyişənlərini oxuyurdu. Mühit dəyişənləri yenidən adlandırıldıqda, heç bir ehtiyat variant olmadan sadə adlar silindi, buna görə də panelini `USERNAME` / `PASSWORD` ilə qoruyan operator (köhnə başlanğıc təlimatında qeyd edildiyi kimi), yeniləmə zamanı autentifikasiyanı itirir və panel onun portuna daxil ola bilən hər kəs üçün açıq olur. Problem 1.0.12 versiyasında düzəldilib. Köhnə qorumalı nümunələrin operator müdaxiləsi olmadan yeniləmədən sonra qorunmuş qalması üçün sadə `$USERNAME` / `$PASSWORD` cütlüyü yenidən köhnəlmiş ehtiyat variant kimi qəbul edilir və start zamanı operatorları onları `$ESPHOME_USERNAME` / `$ESPHOME_PASSWORD` olaraq yenidən adlandırmağa yönləndirən ciddi xəbərdarlıq göstərilir. Ehtiyat variant yalnız `$PASSWORD` təyin edildikdə və yalnız bir cüt kimi tətbiq olunur, beləliklə, ƏM tərəfindən təmin edilən `$USERNAME` təkbaşına oxunmur və orijinal toqquşma riski aradan qaldırılır. İstifadəçi adı olmadan tək başına olan sadə `$PASSWORD` hələ də autentifikasiyasız başlamaq əvəzinə, etibarlılıq uyğunsuzluğu kimi xəta verir. Bu, köhnə adlarda tamamilə uğursuzluğa düçar olmaq əvəzinə uyğunluğu bərpa edir, çünki prioritet yeniləmədən əvvəl qorunan nümunənin operator hərəkət etmədən qorunmağa davam etməsidir; köhnəlmə xəbərdarlığı və gələcəkdə silinməsi miqrasiyanı həll edir. Operatorlar `$ESPHome_*` adlarına keçid etməlidirlər. esphome konteyneri bu düzəlişi `esphome-device-builder` versiyasını 1.0.12-yə yüksəldən 2026.6.2 buraxılışı ilə təqdim edir. Yeniləmə etmədən, təsirlənən istənilən versiyada yeni mühit dəyişənlərini eyni dəyərlərə təyin etməklə autentifikasiyanı dərhal bərpa edin. Alternativ olaraq, panel portunu etibarsız şəbəkələrə açmayın və konkret nümunənin hazırda açıq olub-olmadığını təsdiqləmək üçün start loqlarında `WITHOUT AUTHENTICATION` bannerini yoxlayın.