CVE-2026-64824 in Home Assistant Core
Riassunto
di VulDB • 21/07/2026
Home Assistant Core prima della versione 2026.7.0 contiene una vulnerabilità di path traversal nella funzione di backup-restore che consente agli attaccanti di scrivere file in percorsi assoluti arbitrari del filesystem fornendo un archivio tar manipolato contenente una voce SYMTYPE con un nome membro innocuo abbinato a un linkname assoluto che punta al di fuori della directory di estrazione. Poiché l'immagine Docker ufficiale esegue il processo Home Assistant come root e la successiva voce file regolare viene scritta tramite il symlink non validato, gli attaccanti possono ottenere remote code execution sovrascrivendo percorsi Python importati automaticamente quali site-packages/sitecustomize.py o directory dei componenti personalizzati.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.