PT-2026-89214
CVE-2026-59177
·
تاريخ النشر
2026-09-09
·
تاريخ التحديث
2026-10-28
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
ESPHome Device Builder الإصدارات السابقة لـ 1.0.10
الوصف
في إضافة Home Assistant، يوفر لوحة التحكم موقع دخول موثوق يتجاوز المصادقة، معتمداً على المشرف (supervisor) لمصادقة الطلبات من المنبع. ومع ذلك، يرتبط الموقع بالعنوان
0.0.0.0 وبما أن الإضافة تستخدم شبكة المضيف لـ mDNS، فإن موقع الدخول غير المصادق يكون مكشوفاً على واجهة LAN الخاصة بالمضيف. يسمح هذا لأي جهاز على الشبكة المحلية بالاتصال مباشرة بمنفذ الدخول وتجاوز المصادقة للوصول إلى لوحة التحكم الكاملة. يمكن للمهاجم الذي يملك صلاحية الوصول إلى لوحة التحكم تنفيذ كود Python تعسفي أثناء وقت التجميع عبر external components:، وتنفيذ أوامر shell من خلال عمليات التجميع والتحقق الفرعية، والوصول التعسفي إلى ملفات التكوين والبيانات، مما يؤدي إلى اختراق كامل للإضافة وتكوين Home Assistant المثبت وأجهزة ESPHome المدارة.التوصيات
تحديث ESPHome Device Builder إلى الإصدار 1.0.10 أو أحدث.
كإجراء مؤقت، قم بتقييد الوصول إلى منفذ الدخول الخاص بالإضافة على مستوى الشبكة باستخدام قاعدة جدار حماية للمضيف أو الراوتر للسماح فقط لمضيف Home Assistant والمشرف بالوصول إليه.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾