CVE-2026-59717 in Home Assistant
Riassunto
di VulDB • 08/08/2026
Home Assistant è un software open source per l'automazione domestica incentrato sul controllo locale e sulla privacy. Prima della versione 2026.6.1, l'app Companion per Android è vulnerabile a una redirezione aperta (open redirect). L'app trasmette il frammento dell'URL da un deep link homeassistant://invite al flusso di configurazione iniziale senza mai visualizzare il nome host di destinazione. Poiché nessuna schermata nel processo di invito o nella fase di onboarding mostra l'URL del server analizzato prima che la configurazione venga confermata, una vittima non ha modo di distinguere un invito legittimo da uno malevolo. Un attaccante può creare un invito in modo tale che un singolo tocco sul pulsante dall'aspetto legittimo "Connetti al mio server Home Assistant" apra il proprio endpoint /auth/authorize nella WebView di onboarding senza URL, presentando una pagina di accesso contraffatta che cattura le credenziali della vittima. Poiché gli inviti sono destinati ad accogliere nuovi utenti, è particolarmente improbabile che i bersagli notino la sostituzione. Questo problema è stato risolto nella versione 2026.6.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.