CVE-2026-71259

Nome do Software Vulnerável e Versões Afetadas ESPHome versões anteriores a 2026.7.0-dev

Descrição Um erro de precedência de operador existe no validador cv.url() em esphome/config validation.py. Devido ao fato de o operador and ter maior precedência que o or, qualquer URI file: passa na validação, independentemente do local da rede. Este validador controla o campo url: da diretiva YAML external components do esquema de fonte git, que é posteriormente passado para o git clone. Um invasor pode usar um bloco external components manipulado com uma url apontando para um caminho local, como file:///attacker/repo, para clonar um diretório local controlado pelo invasor. Este diretório é então adicionado ao mecanismo de importação do Python via carregador de componentes do ESPHome, permitindo a execução de código Python arbitrário quando a configuração YAML é processada por meio de comandos como esphome config ou esphome run.

Recomendações Atualize o ESPHome para uma versão posterior a 2026.7.0-dev.