CVE-2026-64823 in Home Assistant Core
Sumário
de VulDB • 21/07/2026
O Home Assistant Core anterior à versão 2026.5.4 contém uma vulnerabilidade de cross-site scripting (XSS) no método `async_get_media_image()` da integração Shelly que permite a atacantes controlando o campo thumb do dispositivo Shelly servir conteúdo HTML arbitrário ao fornecer um URI de dados com tipo de conteúdo text/html sem validação contra uma lista permitida restrita apenas a imagens. Os atacantes podem fazer com que o endpoint proxy do player multimídia sirva bytes controlados pelo atacante com Content-Type text/html na origem web do Home Assistant, permitindo o roubo de tokens de sessão do armazenamento local e chamadas autenticadas a endpoints sensíveis incluindo controles de fechadura, alarme e coberturas.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.