CVE-2026-59717
Açıklama
Home Assistant, yerel kontrol ve gizliliğe odaklanan açık kaynaklı bir ev otomasyon yazılımıdır. 2026.6.1 sürümünden önce, Android Companion uygulaması bir açık yönlendirme (open redirect) zafiyetine sahiptir. Uygulama, homeassistant://invite derin bağlantısından gelen URL parçacığını, hedef ana bilgisayar adını hiçbir zaman görüntülemeden başlangıç sürecine aktarmaktadır. Davet veya başlangıç sürecindeki hiçbir ekran, süreç tamamlanmadan önce ayrıştırılmış sunucu URL'sini göstermediği için kurbanın meşru bir daveti kötü niyetli bir davetten ayırt etme imkanı yoktur. Bir saldırgan, meşru görünen "Connect to my Home Assistant server" düğmesine tek bir dokunuşun, URL içermeyen başlangıç WebView'ında kendi /auth/authorize uç noktasını açmasını sağlayacak şekilde bir davet oluşturabilir ve böylece kurbanın kimlik bilgilerini ele geçiren benzer bir giriş sayfası sunabilir. Davetler tamamen yeni kullanıcıları sisteme dahil etmek için tasarlandığından, hedeflerin bu değişikliği fark etme olasılığı özellikle düşüktür. Bu sorun 2026.6.1 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| home-assistant core | < 2026.6.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.