CVE-2026-59178 in device-builder
Résumé
par VulDB • 14/09/2026
Le tableau de bord ESPHome Device Builder est une interface pour le logiciel de gestion domestique ESPHome. Avant la version 1.0.12, ce tableau de lisait ses identifiants d'authentification depuis les variables d'environnement `$ESPHOME_USERNAME` et `$ESPHOME_PASSWORD`. Les versions antérieures ainsi que l'ancien tableau de bord `esphome` utilisaient à la place les variables brutes `$USERNAME` et `$PASSWORD`. Lors du renommage des variables d'environnement, ces noms bruts ont été supprimés sans mécanisme de repli (fallback). Par conséquent, un opérateur ayant protégé son tableau de bord avec `USERNAME` / `PASSWORD` (comme le documentait l'ancien guide de démarrage) perd son authentification lors de la mise à niveau et le tableau de bord devient accessible à toute personne pouvant atteindre son port.
Le problème est corrigé dans la version 1.0.12. Les variables brutes `$USERNAME` / `$PASSWORD` sont à nouveau acceptées en tant que mécanisme de repli déprécié, afin que les instances précédemment protégées restent sécurisées lors de la mise à niveau sans intervention de l'opérateur, avec un avertissement fort de dépréciation au démarrage indiquant aux opérateurs de les renommer en `$ESPHOME_USERNAME` / `$ESPHOME_PASSWORD`. Ce mécanisme de repli est conditionné par le fait que `$PASSWORD` soit définie et n'est adopté qu'en tant que paire ; ainsi, la variable d'environnement OS `$USERNAME` seule n'est jamais lue individuellement, ce qui maintient la protection contre les collisions accidentelles (footgun). Une simple variable brute `$PASSWORD` sans nom d'utilisateur échoue de manière visible en signalant une incompatibilité des identifiants plutôt que de démarrer en mode non authentifié.
Cette approche restaure la compatibilité au lieu de bloquer strictement l'accès sur les noms hérités, car la priorité est qu'une instance protégée avant la mise à niveau reste protégée sans action requise par l'opérateur ; l'avertissement de dépréciation et une future suppression gèrent la migration. Les opérateurs sont invités à migrer vers les noms `$ESPHOME_*`. Le conteneur esphome livre cette correction dans la version 2026.6.2, qui met à jour sa version épinglée `esphome-device-builder` vers la 1.0.12. Sans effectuer de mise à niveau, restaurez immédiatement l'authentification en définissant les nouvelles variables d'environnement avec les mêmes valeurs, sur n'importe quelle version concernée. Alternativement, ne exposez pas le port du tableau de bord aux réseaux non fiables et vérifiez les journaux de démarrage pour y trouver la bannière `WITHOUT AUTHENTICATION` afin de confirmer si une instance donnée est actuellement ouverte.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.