CVE-2026-64823 in Home Assistant Core
Zusammenfassung
von VulDB • 21.07.2026
In der Version von Home Assistant Core vor 2026.5.4 liegt eine Cross-Site-Scripting-(XSS)-Schwachstelle in der Methode `async_get_media_image()` der Shelly-Integration vor, die es Angreifern ermöglicht, beliebigen HTML-Inhalt bereitzustellen, indem sie einen Data-URI mit dem Content-Type text/html ohne Validierung gegen eine nur Bilder zulassende Allowlist angeben. Dies ist möglich, wenn Angreifer das Feld „thumb“ eines Shelly-Geräts kontrollieren können. Durch diese Schwachstelle kann der Proxy-Endpunkt für Medieninhalte im Ursprungskontext von Home Assistant vom Angreifer gesteuerte Bytes mit dem Content-Type text/html ausliefern, was die Entwendung von Sitzungstokens (Session Tokens) aus dem lokalen Speicher sowie authentifizierte Aufrufe sensibler Service-Endpunkte einschließlich der Steuerung von Schlössern, Alarmanlagen und Abdeckungen ermöglicht.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.