CVE-2023-41897

Home Assistant açık kaynaklı bir ev otomasyonudur. Home Assistant sunucusu, web sayfasının çerçevelenmesine izin verilip verilmediğini belirten X-Frame-Options başlığı da dahil olmak üzere herhangi bir HTTP güvenlik başlığı ayarlamamaktadır. Bu ve ilgili başlıkların eksikliği, gizli tıklama çalma (clickjacking) saldırılarını ve bu güvenlik duyurusunda açıklanan vektör gibi alternatif istismar fırsatlarını kolaylaştırmaktadır. Kullanıcıları minimum etkileşimle harici ve kötü amaçlı bir eklenti yüklemeye ikna etme olasılığı göz önüne alındığında, bu hata Home Assistant uygulaması içinde Uzaktan Kod Çalıştırma'ya (RCE) olanak tanıdığı için büyük risk oluşturmaktadır. Bu sorun 2023.9.0 sürümünde giderilmiştir ve tüm kullanıcıların yükseltme yapmaları önerilir. Bu zafiyet için bilinen bir geçici çözüm yoktur.