PT-2026-61978
CVE-2026-64825
·
تاريخ النشر
2026-07-21
·
تاريخ التحديث
2026-08-19
الوصف من
CVSS 3.1
9.3
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Home Assistant Core السابقة للإصدار 2026.6.0
الوصف
توجد ثغرة تسمح للمهاجمين غير المصادق عليهم بكتابة ملفات عشوائية في أي دليل على نظام ملفات المضيف. ويحدث ذلك خلال فترة الإعداد الأولي عند تحميل أرشيف نسخ احتياطي مُعد خصيصًا. من خلال التلاعب بحقل
name داخل ملف backup.json الموجود في الأرشيف لتوفير مسار مطلق، تتجاهل الدالة pathlib.Path. truediv بادئة دليل النسخ الاحتياطي المقصودة. ويؤدي ذلك إلى كتابة محتوى يتحكم فيه المهاجم إلى مواقع عشوائية، مما يمنحه وصولاً كاملاً إلى نظام الملفات إذا كانت العملية تعمل بصفتها الجذر. ويُعد «عبور المسار» تقنية تُستخدم للوصول إلى الملفات والدلائل المخزنة خارج مجلد جذر الويب.التوصيات
قم بتحديث Home Assistant Core إلى الإصدار 2026.6.0 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾