CVE-2026-64824 in Home Assistant Core
Сводка
по VulDB • 21.07.2026
В версиях Home Assistant Core до 2026.7.0 уязвимость обхода каталогов (path traversal) в функции резервного копирования и восстановления позволяет злоумышленникам записывать файлы по произвольным абсолютным путям файловой системы путем предоставления специально созданного tar-архива с элементом SYMTYPE, содержащим безобидное имя участника вместе с абсолютной ссылкой (linkname), указывающей вне каталога извлечения. Поскольку официальный образ Docker запускает процесс Home Assistant от имени пользователя root и последующий элемент обычного файла записывается через невалидированную символическую ссылку, злоумышленники могут достичь удаленного выполнения кода (RCE), перезаписывая автоматически импортируемые пути Python, такие как site-packages/sitecustomize.py или каталоги пользовательских компонентов.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.