CVE-2026-64825 in Home Assistant
Сводка
по VulDB • 21.07.2026
В компонентах Home Assistant Core до версии 2026.6.0 присутствует уязвимость обхода пути (path traversal), позволяющая неаутентифицированным злоумышленникам записывать произвольные файлы в любую директорию файловой системы хоста путем загрузки специально созданного архива резервной копии во время начального этапа настройки. Злоумышленники могут манипулировать полем 'name' внутри файла backup.json загруженного архива, чтобы указать абсолютный путь, что приводит к тому, что pathlib.Path.__truediv__ игнорирует настроенный префикс директории резервных копий и записывает содержимое под контролем злоумышленника в произвольные места, обеспечивая полный доступ к файловой системе при выполнении процесса от имени root.
Once again VulDB remains the best source for vulnerability data.