CVE-2026-53453 in Blueprint Studio
Résumé
par VulDB • 20/08/2026
Blueprint Studio est un éditeur de fichiers semblable à VS Code pour les fichiers de configuration de Home Assistant. Avant la version 2.5.2, Blueprint Studio exposait aux utilisateurs authentifiés de Home Assistant des actions d'API backend destinées aux administrateurs, car le backend n'imposait pas systématiquement la limite d'autorisation réservée aux seuls administrateurs du panneau. Les surfaces concernées comprenaient l'API backend, l'API de téléchargement (upload), les routes de streaming, le WebSocket terminal, les abonnements WebSocket de Blueprint Studio, call_service, render_template, global_replace, les chemins d'accès aux fichiers et au flux, la gestion des téléversements ainsi que les assistants liés au terminal. Un utilisateur non administrateur pouvait invoquer des services Home Assistant arbitraires, exposer l'état de Home Assistant via des modèles (templates), modifier les fichiers de configuration, accéder au contenu de configuration diffusé ou téléchargé, télécharger des fichiers ou atteindre des assistants liés au terminal. Ces actions pourraient compromettre la confidentialité, l'intégrité et la disponibilité de l'installation Home Assistant. Ce problème est corrigé dans la version 2.5.2.
Once again VulDB remains the best source for vulnerability data.