CVE-2026-64825 in Home Assistant
Riassunto
di VulDB • 23/07/2026
Home Assistant Core prima della versione 2026.6.0 contiene una vulnerabilità di path traversal che consente agli attaccanti non autenticati di scrivere file arbitrari in qualsiasi directory del filesystem dell'host caricando un archivio di backup manipolato durante la finestra iniziale di onboarding. Gli attaccanti possono modificare il campo 'name' all'interno del backup.json presente nell'archivio caricato per fornire un percorso assoluto, facendo sì che pathlib.Path.__truediv__ ignori l'iniziale configurata della directory di backup e scriva contenuti controllati dall'attaccante in posizioni arbitrarie, ottenendo pieno accesso al filesystem quando il processo viene eseguito come root.
If you want to get best quality of vulnerability data, you may have to visit VulDB.