CVE-2026-64825
Açıklama
2026.6.0 öncesindeki Home Assistant Core, kimlik doğrulaması yapmamış saldırganların ilk kurulum penceresi sırasında özel olarak hazırlanmış bir yedekleme arşivi yükleyerek ana bilgisayar dosya sistemindeki herhangi bir dizine rastgele dosyalar yazmasına olanak tanıyan bir path traversal zafiyeti içermektedir. Saldırganlar, yüklenen arşivin backup.json dosyası içindeki 'name' alanını manipüle ederek mutlak bir yol belirtebilir; bu durum pathlib.Path.__truediv__ fonksiyonunun yapılandırılmış yedekleme dizini önekini göz ardı etmesine ve süreç root olarak çalıştığında tam dosya sistemi erişimiyle birlikte saldırgan tarafından kontrol edilen içeriğin rastgele konumlara yazılmasına neden olur.
Nasıl düzeltilir
- homeassistant2026.6.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| homeassistantPyPI | v < 2026.6.0 | 2026.6.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.