PT-2026-61960
CVE-2026-64823
·
تاريخ النشر
2026-07-21
·
تاريخ التحديث
2026-07-21
الوصف من
CVSS 3.1
4.7
متوسطةالمقاييسAV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Home Assistant Core السابقة للإصدار 2026.5.4
الوصف
توجد مشكلة في البرمجة النصية عبر المواقع (XSS) في دالة
async get media image() الخاصة بتكامل Shelly. يمكن للمهاجم الذي يتحكم في حقل thumb بجهاز Shelly تقديم محتوى HTML تعسفي عن طريق توفير عنوان URI للبيانات بنوع محتوى text/html، حيث يفشل النظام في التحقق من صحة المدخلات مقابل قائمة السماح المخصصة للصور فقط. وهذا يسمح لنقطة نهاية وكيل مشغل الوسائط بتقديم بايتات يتحكم فيها المهاجم بنوع المحتوى text/html ضمن مصدر الويب الخاص بـ Home Assistant. ونتيجة لذلك، قد يؤدي هذا إلى سرقة رموز الجلسة من التخزين المحلي وتنفيذ مكالمات مصادق عليها إلى نقاط نهاية الخدمات الحساسة، مثل تلك التي تتحكم في الأقفال وأجهزة الإنذار والأغطية.التوصيات
قم بتحديث Home Assistant Core إلى الإصدار 2026.5.4 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾