CVE-2026-64825 in Home Assistant
Zusammenfassung
von VulDB • 21.07.2026
In Home Assistant Core vor Version 2026.6.0 liegt eine Path-Traversal-Schwachstelle (Pfadmanipulation) vor, die es nicht authentifizierten Angreifern ermöglicht, beliebige Dateien in jedem Verzeichnis des Host-Dateisystems zu schreiben, indem sie während der anfänglichen Onboarding-Phase ein manipulierte Backup-Archiv hochladen. Angreifer können das Feld „name“ innerhalb von backup.json im hochgeladenen Archiv manipulieren, um einen absoluten Pfad anzugeben, wodurch pathlib.Path.__truediv__ das konfigurierte Verzeichnispräfix für Backups ignoriert und angreifergesteuerten Inhalt an beliebigen Speicherorten schreibt. Dies führt bei Ausführung des Prozesses als root zu einem vollständigen Zugriff auf das Dateisystem.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.