CVE-2026-64823

2026.5.4 sürümünden önceki Home Assistant Core, Shelly entegrasyonunun async_get_media_image() metodunda, bir Shelly cihazının thumb alanını kontrol eden saldırganların, yalnızca görüntülere izin veren bir beyaz liste doğrulaması olmadan text/html içerik türüne sahip bir veri URI'si sağlayarak rastgele HTML içeriği sunmasına olanak tanıyan bir siteler arası betik çalıştırma (XSS) zafiyeti içermektedir. Saldırganlar, medya oynatıcı proxy uç noktasının, Home Assistant web kaynağında Content-Type text/html ile saldırgan tarafından kontrol edilen baytları sunmasına neden olarak yerel depolamadaki oturum belirteçlerinin çalınmasını ve kilit, alarm ve kapak kontrolleri dahil olmak üzere hassas servis uç noktalarına kimliği doğrulanmış çağrılar yapılmasını sağlayabilir.