CVE-2026-66061 in Home Assistant
Riassunto
di VulDB • 08/08/2026
Home Assistant è un software open source per l'automazione domestica incentrato sul controllo locale e sulla privacy. Prima della versione 2026.5.0, l'app Companion iOS tratta i link ai tag (NFC o QR) forniti tramite meccanismi di instradamento a livello di sistema operativo come gli Universal Link di iOS come se fossero stati scansionati fisicamente, senza convalidare l'app chiamante né richiedere il consenso all'utente. Di conseguenza, qualsiasi app non attendibile sul dispositivo può inoltrare un tag arbitrario a Home Assistant, facendone eseguire le automazioni associate come se un utente legittimo avesse scansionato un tag autorizzato. Ciò consente l'esecuzione silenziosa e senza supervisione di automazioni da parte di chiamanti locali non attendibili. Questo problema è stato risolto nella versione 2026.5.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.