CVE-2026-59717

Home Assistant lokal idarəetmə və məxfiliyə yönəlmiş açıq mənbəli ev avtomatlaşdırma proqram təminatıdır. 2026.6.1 versiyasından əvvəl Android Companion tətbiqi açıq yönləndirmə (open redirect) zəifliyinə malikdir. Tətbiq, homeassistant://invite dərin keçidindən (deep link) gələn URL fraqmentini hədəf host adını göstərmədən qeydiyyat (onboarding) prosesinə ötürür. Dəvət və ya qeydiyyat prosesindəki heç bir ekran qeydiyyat tamamlanmamışdan əvvəl analiz edilmiş server URL-ni göstərmədiyi üçün, qurban legitim dəvəti zərərli dəvətdən fərqləndirə bilmir. Hücumçu elə bir dəvət hazırlaya bilər ki, legitim görünən "Connect to my Home Assistant server" düyməsinə bir toxunuşla URL-siz qeydiyyat WebView-də onların /auth/authorize son nöqtəsi (endpoint) açılsın və qurbanın etibarnamələrini əldə edən oxşar giriş səhifəsi təqdim edilsin. Dəvətlər tamamilə yeni istifadəçiləri qeydiyyata almaq üçün nəzərdə tutulduğundan, hədəflərin bu əvəzləməni fərq etmə ehtimalı xüsusilə aşağıdır. Bu problem 2026.6.1 versiyasında düzəldilmişdir.