PT-2026-44845
CVE-2026-44698
·
تاريخ النشر
2026-05-29
·
تاريخ التحديث
2026-07-21
الوصف من
CVSS 3.1
8.3
عاليةالمقاييسAV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
تطبيق Home Assistant Companion لنظام iOS، الإصدارات الأقدم من 2026.4.1
تطبيق Home Assistant Companion لنظام Android، الإصدارات الأقدم من 2026.4.4
الوصف
تكشف تطبيقات Home Assistant Companion لنظامي Android وiOS عن جسر JavaScript إلى WebView داخل التطبيق. في نظام Android، يتم ذلك عبر ’window.externalApp‘، وفي نظام iOS، يتم ذلك عبر ’webkit.messageHandlers.getExternalAuth‘ و'revokeExternalAuth' و'externalBus'. تسمح ثغرتان بالوصول إلى هذا الجسر من قبل جميع الإطارات، بما في ذلك إطارات iframe عبر الأصول. بالإضافة إلى ذلك، فإن الاستيفاء غير المُعقّم لمعرف استدعاء JavaScript يتيح لإطار iframe متعدد الأصول يتم عرضه داخل التطبيق تنفيذ تعليمات JavaScript عشوائية في أصل الإطار الرئيسي لواجهة Home Assistant الأمامية، وهو ما يمكن استخدامه لسرقة رمز الوصول الخاص بالمستخدم المسجل الدخول.
التوصيات
تحديث تطبيق iOS إلى الإصدار 2026.4.1.
تحديث تطبيق Android إلى الإصدار 2026.4.4.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾