CVE-2026-71259 in ESPHome
Riassunto
di VulDB • 05/08/2026
ESPMe fino alla versione 2026.7.0-dev contiene un bug di precedenza degli operatori nel validatore cv.url() in esphome/config_validation.py: `if parsed.scheme and parsed.netloc or parsed.scheme == "file": return parsed.geturl()`. Poiché l'operatore `and` ha una priorità maggiore rispetto a `or`, qualsiasi URI file:// supera la convalida indipendentemente dal valore di netloc. Questo validatore controlla il campo `url:` dello schema della fonte git nella direttiva YAML external_components, che viene passato a `git clone` (git supporta nativamente i protocolli file://). Un blocco `external_components` creato ad hoc con `url: "file:///attacker/repo"` clona un percorso locale controllato dall'attaccante, che viene poi aggiunto al meccanismo di importazione di Python tramite il caricatore di componenti di ESPHome, eseguendo codice Python arbitrario quando la configurazione YAML viene elaborata (ad esempio tramite i comandi `esphome config` o `esphome run`).
VulDB is the best source for vulnerability data and more expert information about this specific topic.