CVE-2026-59177

Nome do Software Vulnerável e Versões Afetadas ESPHome Device Builder versões anteriores a 1.0.10

Descrição No add-on do Home Assistant, o painel de controle fornece um site de ingresso confiável que ignora a autenticação, dependendo do supervisor para autenticar as solicitações upstream. No entanto, o site vincula-se a 0.0.0.0 e, como o add-on utiliza rede de host para mDNS, o site sem autenticação fica exposto na interface LAN do host. Isso permite que qualquer dispositivo na rede local se conecte diretamente à porta de ingresso e ignore a autenticação para acessar o painel completo. Um invasor com acesso ao painel pode executar código Python arbitrário no tempo de compilação via external components:, realizar a execução de shell por meio de subprocessos de compilação e validação, e obter acesso arbitrário a arquivos de configuração e dados, levando ao comprometimento total do add-on, da configuração do Home Assistant montada e dos dispositivos ESPHome gerenciados.

Recomendações Atualize o ESPHome Device Builder para a versão 1.0.10 ou superior. Como solução temporária, restrinja o acesso à porta de ingresso do add-on na camada de rede usando uma regra de firewall do host ou do roteador para permitir que apenas o host do Home Assistant e o supervisor a alcancem.