PT-2026-68132
CVE-2026-71259
·
تاريخ النشر
2026-08-05
·
تاريخ التحديث
2026-08-10
الوصف من
CVSS 3.1
8.6
عاليةالمقاييسAV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات ESPHome الأقدم من 2026.7.0-dev
الوصف
يوجد خطأ في أولوية العوامل الحسابية في أداة التحقق من صحة
cv.url() داخل ملف esphome/config validation.py. ونظرًا لأن عامل and أكثر تقييدًا من عامل or، فإن أي عنوان URI من نوع file: يجتاز عملية التحقق من الصحة بغض النظر عن موقع الشبكة. تتحكم أداة التحقق هذه في حقل url: في مخطط مصدر git لتوجيه YAML الخاص بـ external components، والذي يتم تمريره لاحقًا إلى git clone. يمكن للمهاجم استخدام كتلة external components مصممة خصيصًا تحتوي على url يشير إلى مسار محلي، مثل file:///attacker/repo، لاستنساخ دليل محلي يسيطر عليه المهاجم. ثم يُضاف هذا الدليل إلى آلية الاستيراد في Python عبر محمل مكونات ESPHome، مما يسمح بتنفيذ تعليمات برمجية Python تعسفية عند معالجة تكوين YAML من خلال أوامر مثل esphome config أو esphome run.التوصيات
تحديث ESPHome إلى إصدار أحدث من 2026.7.0-dev.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾