PT-2026-61977
CVE-2026-64824
·
تاريخ النشر
2026-05-29
·
تاريخ التحديث
2026-07-21
الوصف من
CVSS 4.0
9.3
حرجةالمقاييسAV:N/AC:L/AT:N/PR:H/UI:A/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Home Assistant Core السابقة للإصدار 2026.7.0
الوصف
توجد مشكلة تتعلق باجتياز المسار في وظيفة النسخ الاحتياطي والاستعادة. يمكن للمهاجم كتابة ملفات إلى مسارات مطلقة عشوائية في نظام الملفات من خلال توفير أرشيف tar مصمم خصيصًا لهذا الغرض. ويتم تحقيق ذلك باستخدام إدخال SYMTYPE يربط اسم عنصر غير ضار باسم رابط مطلق يشير إلى خارج دليل الاستخراج. ونظرًا لأن صورة Docker الرسمية تُنفِّذ عملية Home Assistant بصفتها الجذر (root)، فإن إدخال الملف العادي اللاحق يُكتَب عبر الرابط الرمزي غير المُثبَّت صحةً. وقد يؤدي ذلك إلى تنفيذ تعليمات برمجية عن بُعد عن طريق الكتابة فوق مسارات Python التي يتم استيرادها تلقائيًّا، مثل
site-packages/sitecustomize.py، أو دلائل المكونات المخصصة.التوصيات
تحديث Home Assistant Core إلى الإصدار 2026.7.0 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾