CVE-2026-91130

Nome do Software Vulnerável e Versões Afetadas Home Assistant versões anteriores a 2026.7.0

Description Um usuário autenticado ou um provedor de integração malicioso pode executar um ataque de Cross-Site Scripting (XSS) contra usuários que visualizam um cartão de Gráfico de Estatísticas (Statistics Graph). O problema ocorre porque o componente statistics-chart interpola a variável param.seriesName no HTML da dica de ferramenta (tooltip) do ECharts sem a devida filtragem ou uso da função filterXSS(). Isso permite que HTML relacionado a scripts seja executado quando um visualizador passa o mouse sobre um ponto de dados em um gráfico de linha (Line chart). A vulnerabilidade afeta os campos Mean, State, Sum e Change, mas não afeta gráficos de barras (Bar charts). O fluxo de dados envolve as funções getStatisticLabel() e computeStateName() em src/components/chart/statistics-chart.ts e src/common/entity/compute state name.ts. Existe um vetor de cadeia de suprimentos onde uma integração que nomeia entidades automaticamente poderia entregar a carga maliciosa sem exigir que o invasor tenha uma conta na instância alvo.

Recommendations Atualize o Home Assistant para a versão 2026.7.0.