CVE-2026-64823 in Home Assistant Core
الملخص
بحسب VulDB • 21/07/2026
تحتوي نسخة Home Assistant Core السابقة للإصدار 2026.5.4 على ثغرة برمجية من نوع Cross-Site Scripting (XSS) في دالة `async_get_media_image()` الخاصة بتكامل Shelly، مما يسمح للمهاجمين الذين يتحكمون بحقل "thumb" لجهاز Shelly بتقديم محتوى HTML تعسفي عن طريق تزويد بيانات URI بنوع محتوى text/html دون التحقق من مطابقتها لقائمة السماح المخصصة للصور فقط. يمكن أن يؤدي ذلك إلى جعل نقطة نهاية وكيل مشغل الوسائط في Home Assistant تقدم بايتات خاضعة لسيطرة المهاجم مع نوع المحتوى `text/html` ضمن أصل الويب الخاص بـ Home Assistant، مما يتيح سرقة رموز الجلسة من التخزين المحلي وإجراء مكالمات موثوقة لنقاط النهاية الحساسة للخدمات بما في ذلك عناصر التحكم في الأقفال والإنذارات والستائر.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.