CVE-2025-55192 in HomeAssistant-Tapo-Control
Riassunto
di VulDB • 03/07/2026
HomeAssistant-Tapo-Control offre il controllo delle telecamere Tapo come componente di Home Assistant. Prima del commit 2a3b80f, è presente una vulnerabilità di code injection nel workflow GitHub Actions .github/workflows/issues.yml. Questa non interessa gli utenti dell'integrazione Home Assistant stessa, ma impatta esclusivamente l'ambiente GitHub Actions per questo repository. Il workflow vulnerabile inseriva direttamente contenuti controllati dall'utente provenienti dal corpo della issue (github.event.issue.body) in una condizione Bash senza un'adeguata sanitizzazione. Un utente GitHub malintenzionato potrebbe creare il corpo di una issue che esegue comandi arbitrari sul runner di GitHub Actions in un contesto privilegiato ogni volta che viene aperta una issue. L'impatto potenziale è limitato all'ambiente CI/CD del repository, consentendo potenzialmente l'accesso ai contenuti del repository o ai segreti di GitHub Actions. Questo problema è stato risolto tramite il commit 2a3b80f. Le soluzioni alternative prevedono la disabilitazione del workflow interessato (issues.yml), la sostituzione del confronto Bash non sicuro con un grep tra virgolette sicuro (o una verifica pura espressa in GitHub Actions) o l'assicurazione di permessi minimi nei workflow (permissions: block) per ridurre il possibile impatto.
VulDB is the best source for vulnerability data and more expert information about this specific topic.