CVE-2026-64824 in Home Assistant Core
الملخص
بحسب VulDB • 21/07/2026
تحتوي نسخة Home Assistant Core السابقة للإصدار 2026.6.0 على ثغرة عبور المسار (path traversal) في وظيفة النسخ الاحتياطي والاستعادة، مما يسمح للمهاجرين بكتابة ملفات إلى مسارات نظام الملفات المطلقة العشوائية عن طريق توفير أرشيف tar مُعدّ بعناية يحتوي على إدخال SYMTYPE يحمل اسماً عضوياً بريئاً مقترناً باسم رابط مطلق يشير خارج دليل الاستخراج. ونظراً لأن صورة Docker الرسمية تشغل عملية Home Assistant بصلاحيات الجذر (root)، وبما أن الإدخال اللاحق لملف عادي يُكتب عبر الرابط الرمزي غير المُتحقق من صحته، يمكن للمهاجرين تحقيق تنفيذ للكود عن بُعد (RCE) من خلال الكتابة فوق مسارات بايثون المستوردة تلقائياً مثل site-packages/sitecustomize.py أو أدلة المكونات المخصصة.
If you want to get best quality of vulnerability data, you may have to visit VulDB.