Summary
Vulnerability in ESPHome (CVE-2026-71259). Successful exploitation can lead to full system takeover. Exploitable via and.
Original description
The description as published by the source.
ESPHome through 2026.7.0-dev contains an operator-precedence bug in the cv.url validator in esphome/config_validation.py. Because binds tighter than , any file: URI passes validation regardless of netloc. This validator gates the field of the external_components YAML directive's git source schema, which is passed to (git supports file:// natively).
Source: NIST National Vulnerability Database NVD GitHub Advisory
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
ESPHomeのバージョン2026.7.0-devまでに、cv.url()バリデータで演算子優先度のバグがあります。andはorよりも強く結びつくため、任意のfile: URIが検証を通過する可能性があります。このバグを利用すると、攻撃者が作成したローカルパスをクローンし、Pythonのインポート機構に追加して任意のPythonコードを実行できます。
ESPHomeのcv.url()バリデータでの演算子優先度バグ。
esphome/config_validation.py
任意のPythonコードを実行可能で深刻。
演算子優先度を修正し、or条件が期待通りに機能するようにする。
不正なfile: URIの使用を制限。
設定ファイル中の不正なfile: URIを確認する。
References
- advisory github.com
- advisory github.com
- advisory nvd.nist.gov
- advisory github.com
- web github.com