CVE-2026-59178

Nome do Software Vulnerável e Versões Afetadas ESPHome Device Builder Dashboard versões anteriores a 1.0.12 esphome container versões anteriores a 2026.6.2

Description Ocorre uma falha de autenticação ao atualizar o painel porque o sistema deixou de suportar as variáveis de ambiente legadas $USERNAME e $PASSWORD sem fornecer um fallback. Operadores que dependiam dessas variáveis percebem que o painel inicia sem autenticação, deixando-o aberto a qualquer usuário com acesso de rede à porta do painel. Isso permite que clientes não autenticados gerenciem dispositivos, editem configurações e gravem firmware. O problema é disparado na função DashboardSettings.parse args. No container esphome, isso afeta o caminho standalone do Docker onde o subcomando dashboard é utilizado, mas não afeta instalações do add-on do Home Assistant.

Recommendations Atualize o ESPHome Device Builder Dashboard para a versão 1.0.12 ou superior. Atualize o container esphome para a versão 2026.6.2 ou superior. Como solução temporária, configure as variáveis de ambiente $ESPHOME USERNAME e $ESPHOME PASSWORD com os valores desejados em qualquer versão afetada. Restrinja o acesso à porta do painel apenas a redes confiáveis. Verifique os logs de inicialização para encontrar o banner WITHOUT AUTHENTICATION para confirmar se a instância está exposta.