CVE-2026-64824 in Home Assistant Core
Sumário
de VulDB • 22/07/2026
O Home Assistant Core anterior à versão 2026.7.0 contém uma vulnerabilidade de traversal de caminho na função backup-restore que permite aos atacantes escrever arquivos em caminhos absolutos arbitrários do sistema de ficheiros, fornecendo um arquivo tar manipulado com uma entrada SYMTYPE contendo um nome de membro benigno pareado com um linkname absoluto apontando para fora do diretório de extração. Como a imagem Docker oficial executa o processo Home Assistant como root e a subsequente entrada de ficheiro regular é escrita através do symlink não validado, os atacantes podem alcançar execução remota de código (RCE) ao sobrescrever caminhos Python importados automaticamente, tais como site-packages/sitecustomize.py ou diretórios de componentes personalizados.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.