CVE-2026-64825

Nome do Software Vulnerável e Versões Afetadas Home Assistant Core versões anteriores a 2026.6.0

Descrição Existe um problema que permite que atacantes não autenticados gravem arquivos arbitrários em qualquer diretório do sistema de arquivos do host. Isso ocorre durante a janela de integração inicial quando um arquivo de backup manipulado é enviado. Ao manipular o campo name dentro do arquivo backup.json no arquivo compactado para fornecer um caminho absoluto, a função pathlib.Path. truediv descarta o prefixo do diretório de backup configurado. Isso resulta na gravação de conteúdo controlado pelo atacante em locais arbitrários, concedendo acesso total ao sistema de arquivos se o processo estiver sendo executado como root. Path traversal é uma técnica usada para acessar arquivos e diretórios que estão armazenados fora da pasta raiz da web.

Recomendações Atualize o Home Assistant Core para a versão 2026.6.0 ou posterior.