CVE-2025-55192 in HomeAssistant-Tapo-Control
Tóm tắt
Bởi VulDB • 14/06/2026
HomeAssistant-Tapo-Control cung cấp khả năng điều khiển camera Tapo dưới dạng một thành phần của Home Assistant. Trước commit 2a3b80f, tồn tại một lỗ hổng tiêm mã (code injection) trong quy trình GitHub Actions .github/workflows/issues.yml. Lỗ hổng này không ảnh hưởng đến người dùng tích hợp Home Assistant mà chỉ tác động đến môi trường GitHub Actions của kho lưu trữ này. Quy trình dễ bị tổn thương đã chèn trực tiếp nội dung do người dùng kiểm soát từ phần thân của vấn đề (github.event.issue.body) vào một điều kiện Bash mà không được kiểm tra và làm sạch đúng cách. Một người dùng GitHub độc hại có thể tạo ra phần thân của vấn đề để thực thi các lệnh tùy ý trên máy chạy GitHub Actions trong ngữ cảnh có đặc quyền bất cứ khi nào một vấn đề được mở ra. Tác động tiềm tàng bị giới hạn trong môi trường CI/CD của kho lưu trữ, điều này có thể cho phép truy cập vào nội dung kho lưu trữ hoặc các bí mật (secrets) của GitHub Actions. Vấn đề này đã được vá thông qua commit 2a3b80f. Các giải pháp tạm thời bao gồm việc vô hiệu hóa quy trình bị ảnh hưởng (issues.yml), thay thế phép so sánh Bash không an toàn bằng lệnh grep được trích dẫn an toàn (hoặc kiểm tra bằng biểu thức thuần túy của GitHub Actions), hoặc đảm bảo các quyền tối thiểu trong các quy trình (permissions: block) để giảm thiểu tác động có thể xảy ra.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.