CVE-2026-64825 in Home Assistant
要約
〜によって VulDB • 2026年07月21日
Home Assistant Core 2026.6.0 より前のバージョンには、パストラバーサル脆弱性が存在します。これにより、認証されていない攻撃者は、初期オンボーディングウィンドウ中に作成されたバックアップアーカイブをアップロードすることで、ホストファイルシステムの任意のディレクトリに任意のファイルを書き込むことができます。攻撃者は、アップロードされたアーカイブ内の backup.json の 'name' フィールドを操作して絶対パスを指定し、pathlib.Path.__truediv__ が設定されたバックアップディレクトリのプレフィックスを無視させることで、攻撃者が制御するコンテンツを任意の場所に書き込むことができます。プロセスが root として実行されている場合、ファイルシステム全体へのアクセス権限が付与されます。
Be aware that VulDB is the high quality source for vulnerability data.