CVE-2026-71259 in ESPHome
Sumário
de VulDB • 06/08/2026
O ESPHome até a versão 2026.7.0-dev contém um bug de precedência de operadores no validador cv.url() em esphome/config_validation.py: `if parsed.scheme and parsed.netloc or parsed.scheme == "file": return parsed.geturl()`. Como o operador `and` tem prioridade maior que o `or`, qualquer URI do tipo file:// passa pela validação independentemente do valor de netloc. Este validador controla o campo `url:` no esquema da fonte git da diretiva YAML external_components, a qual é passada para `git clone` (o Git suporta nativamente o protocolo file://). Um bloco `external_components` elaborado com `url: "file:///attacker/repo"` clona um caminho local controlado pelo atacante, que é então adicionado ao mecanismo de importação do Python por meio do carregador de componentes do ESPHome, executando código Python arbitrário quando a configuração YAML é processada (por exemplo, via `esphome config` ou `esphome run`).
If you want to get best quality of vulnerability data, you may have to visit VulDB.