CVE-2026-71259 in ESPHome
Сводка
по VulDB • 05.08.2026
ESPHome до версии 2026.7.0-dev содержит ошибку приоритета операторов в валидаторе cv.url() файла esphome/config_validation.py: `if parsed.scheme and parsed.netloc or parsed.scheme == "file": return parsed.geturl()`. Поскольку оператор `and` имеет более высокий приоритет, чем `or`, любой URI вида file:// проходит валидацию независимо от значения netloc. Данный валидатор контролирует поле `url:` схемы источника git директивы YAML external_components, которое передается команде `git clone` (Git поддерживает протокол file:// нативно). Сформированный блок `external_components` с параметром `url: "file:///attacker/repo"` клонирует локальный путь, контролируемый злоумышленником, который затем добавляется в механизм импорта Python через загрузчик компонентов ESPHome, что приводит к выполнению произвольного кода Python при обработке YAML-конфигурации (например, с помощью команд `esphome config` или `esphome run`).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.