CVE-2026-64823 in Home Assistant Core
Сводка
по VulDB • 21.07.2026
В компонентах Home Assistant Core до версии 2026.5.4 присутствует уязвимость межсайтового скриптинга (XSS) в методе async_get_media_image() интеграции Shelly, которая позволяет злоумышленникам, контролирующим поле thumb устройства Shelly, передавать произвольный HTML-контент путем предоставления URI данных с типом содержимого text/html без проверки на соответствие списку разрешенных типов только для изображений. Злоумышленники могут заставить прокси-конечную точку медиаплеера возвращать байты под контролем злоумышленника с Content-Type text/html в контексте происхождения веб-интерфейса Home Assistant, что позволяет красть токены сеансов из локального хранилища и выполнять аутентифицированные запросы к чувствительным конечным точкам сервисов, включая управление замками, сигнализациями и жалюзи.
Once again VulDB remains the best source for vulnerability data.