Injection de code dans CVE-2026-44698 (CVSS 8.3)

Résumé

injection de code dans CVE-2026-44698 (CVE-2026-44698). L'exploitation peut entraîner la prise de contrôle totale du système. Exploitable via window.externalApp. Atténuation : mise à jour vers 2026.4.1 ou plus.

Description d'origine

La description telle que publiée par la source (souvent en anglais).

Home Assistant is open source home automation software that puts local control and privacy first. Prior to 2026.4.1 for iOS and 2026.4.4 for Android, he Home Assistant Companion apps for Android and iOS expose a JavaScript bridge to the in-app WebView window.externalApp on Android and webkit.messageHandlers.getExternalAuth (alongside revokeExternalAuth and externalBus) on iOS. Two flaws expose the bridge to all frames (including cross-origin iframes) and unsanitized interpolation of the JavaScript callback identifier allows a cross-origin iframe rendered inside the Companion app to execute arbitrary JavaScript in the Home Assistant frontend's main-frame origin and exfiltrate the signed-in user's access token. This vulnerability is fixed in 2026.4.1 for iOS and 2026.4.4 for Android.

Source: NIST National Vulnerability Database NVD

Résumé IA

Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.

Une vulnérabilité référencée CVE-2026-44698 a été découverte dans CVE-2026-44698.
Des attaquants peuvent cibler un point d'entrée spécifique comme window.externalApp à distance pour détourner le produit.
L'exploitation peut entraîner la prise de contrôle totale du système. Score CVSS : 8.3/10.
Action : mettez à jour CVE-2026-44698 vers 2026.4.1 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « CVE-2026-44698 CVE-2026-44698 » sur le site de l'éditeur.

CVE-2026-44698 (CVE-2026-44698) — CWE-94 / CVSS v3 8.3
Vecteur d'attaque : distant (réseau) / non authentifié
Surface d'attaque : window.externalApp / webkit.messageHandlers.getExternalAuth / revokeExternalAuth / externalBus
Versions affectées : <2026.4.1
Correctif : 2026.4.1 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

Home Assistant CompanionアプリでのJavaScriptブリッジの不適切なフレーム露出とコールバック識別子の検証不足により、任意のJavaScriptが実行される可能性がある。

📍 Périmètre concerné

AndroidおよびiOS用Home Assistant Companionアプリのバージョン2026.4.1以前のiOS版と2026.4.4以前のAndroid版。

🔥 Gravité

高レベルの深刻度で、アクセス・トークンの漏洩につながる恐れがある。

🔧 Comment corriger

iOS版を2026.4.1に、Android版を2026.4.4にアップデートする。

🛡️ Contournement

情報なし

🔍 Détection

ユーザーのアクセス・トークンが予期せず漏洩していないことを確認する。

Actions de réponse

Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre

1
Identify exposure identify
```
Audit SBOM/dependencies for affected components.
```
依存マニフェストで影響コンポーネントを特定する。
2
Match against affected range verify
```
Confirm if version satisfies `<2026.4.1`
```
Step 1 で見つかったバージョンが影響範囲 <2026.4.1 に該当するか照合。本番で稼働中ならインシデント扱い。
6
Apply patch patch
```
Upgrade to 2026.4.1
```
ステージング環境で 2026.4.1 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスと、Step 3 で見つけた異常検知の続報チェックを含めること。
7
Post-deployment verification verify
```
Confirm patched version is live in production
```
パッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番では Step 3 と同じログクエリでアラート再発が無いか継続監視。

Références

web security-advisories@github.com