CVE-2026-59717 in Home Assistant
요약
\~에 의해 VulDB • 2026. 08. 07.
Home Assistant는 로컬 제어와 프라이버시에 중점을 둔 오픈 소스 홈 자동화 소프트웨어입니다. 버전 2026.6.1 이전의 Android Companion 앱은 열린 리디렉션(open redirect) 취약점에 노출되어 있습니다. 이 앱은 homeassistant://invite 딥 링크에서 URL 프래그먼트를 온보딩 흐름으로 전달할 때 최종 목적지의 호스트명을 사용자에게 표시하지 않습니다. 초대 또는 온보딩 흐름 중 어느 화면에서도 온보딩이 확정되기 전에 파싱된 서버 URL을 보여주지 않기 때문에, 피해자는 정당한 초대와 악의적인 초대를 구분할 방법이 없습니다. 공격자가 정당한 것처럼 보이는 "내 Home Assistant 서버에 연결" 버튼을 단일 탭했을 때 /auth/authorize 엔드포인트가 주소 표시줄 없는 온보딩 WebView에서 열리고, 이를 통해 피해자의 자격 증명을 탈취하는 유사한 로그인 페이지를 제시하도록 초대 내용을 조작할 수 있습니다. 초대는 신규 사용자를 위한 것이므로 대상자는 이러한 치환을 알아차릴 가능성이 특히 낮습니다. 이 문제는 버전 2026.6.1에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.