CVE-2026-64823

2026.5.4 versiyasından əvvəlki Home Assistant Core, Shelly inteqrasiyasının async_get_media_image() metodunda saytlararası skriptinq (XSS) boşluğu ehtiva edir. Bu boşluq, Shelly cihazının thumb sahəsini idarə edən hücumçulara, yalnız şəkillər üçün nəzərdə tutulmuş ağ siyahı ilə yoxlanılmayan və text/html məzmun tipinə malik data URI təqdim etməklə ixtiyari HTML məzmununu təqdim etməyə imkan verir. Hücumçular media pleyer proksi son nöqtəsinin (endpoint), Home Assistant veb mənşəyində Content-Type text/html ilə hücumçu tərəfindən idarə olunan baytları təqdim etməsinə səbəb ola bilər ki, bu da lokal yaddaşdan sessiya tokenlərinin oğurlanmasına və kilid, həyəcan siqnalizasiyası və örtük idarəetməsi daxil olmaqla həssas xidmət son nöqtələrinə autentifikasiya olunmuş çağırışların edilməsinə şərait yaradır.