ورود / ثبت‌نام

جزئیات آسیب‌پذیری

CVE-2026-54317

home-assistant core

Home Assistant: Konnected alarm-panel switch state and zone topology disclosed to unauthenticated actors on the LAN

CVSS 3.1
7.6بالا

شرح رسمی (انگلیسی)

Home Assistant is open source home automation software that puts local control and privacy first. Prior to 2026.6.0, the Konnected integration registers an HTTP endpoint, KonnectedView (homeassistant/components/konnected/__init__.py), that is marked as not requiring authentication (requires_auth = False). A comment next to that line says auth is instead handled "via the access token from configuration." That promise is only half true. Write requests (POST and PUT) are handled by update_sensor(), which does check the request's Authorization: Bearer <token> header against the integration's stored access tokens (using hmac.compare_digest). Read requests (GET) are handled by a separate get() method that has no authentication check at all. This vulnerability is fixed in 2026.6.0.

امتیازهای CVSS

امتیازنسخهمنبعبردار
7.6بالا 3.1 CVEProject cvelistV5 (CNA) (GitHub_M) CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L

محصولات آسیب‌پذیر

فروشندهمحصولنسخه‌هامنبع
home-assistant core < 2026.6.0 CVEProject cvelistV5 (CNA)

منابع و راهنماها

۱
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.

اطلاعات

تاریخ انتشار
۱۴۰۵/۰۴/۰۲
آخرین به‌روزرسانی
۱۴۰۵/۰۴/۰۵
وضعیت
منتشرشده
صادرکننده (CNA)
GitHub_M

پیش‌بینی بهره‌برداری (EPSS)

۰٫۳٪
احتمال بهره‌برداری در ۳۰ روز
۲۳٫۷٪
صدک (نسبت به همه‌ی CVEها)

ارزیابی SSVC (CISA)

قابل خودکارسازی
خیر
وضعیت بهره‌برداری
اثبات مفهوم
اثر فنی
جزئی

ضعف‌ها (CWE)

  • CWE-200
    Exposure of Sensitive Information to an Unauthorized Actor
  • CWE-306
    Missing Authentication for Critical Function