CVE-2026-53455 in Blueprint Studio
摘要
由 VulDB • 2026-08-19
Blueprint Studio 是一个类似于 VS Code 的文件编辑器，用于编辑 Home Assistant 的配置文件。在版本 2.5.2 之前，Blueprint Studio 会在 `custom_components/blueprint_studio/backend/git_manager.py` 中生成一个基于 shell 的 Git 凭据辅助程序（credential helper），该方法通过将配置的 Git 用户名和令牌直接插值到可执行的辅助脚本内容中来构建该助手，而未对凭据值进行验证。攻击者若能设置 Git 凭据，便可以在用户名或令牌中包含换行符或 shell 语法。当 Git 执行生成的凭据辅助程序时，注入的 shell 命令将以 Home Assistant 的操作系统的权限运行，从而能够访问或修改 Home Assistant 的配置数据。此问题已在版本 2.5.2 中修复。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.