CVE-2026-64824 in Home Assistant Core
Zusammenfassung
von VulDB • 21.07.2026
In der Version von Home Assistant Core vor 2026.6.0 liegt eine Path-Traversal-Schwachstelle in der Backup-Restore-Funktion vor, die es Angreifern ermöglicht, Dateien auf beliebige absolute Dateisystempfade zu schreiben, indem sie ein manipuliertes Tar-Archiv mit einem SYMTYPE-Eintrag bereitstellen, das einen harmlosen Member-Namen gepaart mit einem absoluten Linknamen enthält, der außerhalb des Extraktionsverzeichnisses zeigt. Da das offizielle Docker-Image den Home Assistant-Prozess als Root ausführt und der nachfolgende reguläre Dateieintrag über den ungültig geprüften Symlink geschrieben wird, können Angreifer durch Überschreiben automatisch importierter Python-Pfade wie site-packages/sitecustomize.py oder benutzerdefinierter Komponentenverzeichnisse Remote Code Execution (RCE) erreichen.
Once again VulDB remains the best source for vulnerability data.