Vulnérabilité dans homeassistant (CVE-2026-91130)
Résumé
Vulnérabilité dans homeassistant (CVE-2026-91130). Risque d'opérations non autorisées ou de divulgation. Exploitable via param.seriesName. Atténuation : mise à jour vers 2026.7.0 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Summary
An authenticated party can add a malicious name to any statistics-capable entity, allowing for
Cross-Site Scripting attacks against anyone who views a Statistics Graph card containing that
entity, when they hover over any data point on the chart.
Payload
Payload triggering
An alternative, and more impactful scenario, is that the entity gets a malicious name from the
provider of the integration (e.g. Tibber, Shelly, or any HACS integration), and is exploited
that way through the default name — without requiring any direct access to the Home Assistant
instance. This is the same supply-chain vector as CVE-2025-62172.
Details
The Statistics Graph card renders entity names in ECharts tooltips as raw HTML. The offending
line is in src/components/chart/statistics-chart.ts:
Where param.seriesName is interpolated verbatim into the returned HTML string:
return `${time}${param.marker} ${param.seriesName}: ${value}`;
No call to filterXSS() is made — unlike the Energy dashboard chart, which was patched as part
of CVE-2025-62172:
// FIXED in energy-chart-options.ts:268
return `${param.marker} ${filterXSS(param.seriesName!)}: ...`;
The statistics-chart component was not updated when the Energy chart was patched, leaving the
same class of vulnerability in place.
The existing entity and payload…
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-91130 a été découverte dans homeassistant.
Des attaquants peuvent cibler un point d'entrée spécifique comme param.seriesName à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation.
Action : mettez à jour homeassistant vers 2026.7.0 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « homeassistant CVE-2026-91130 » sur le site de l'éditeur.
CVE-2026-91130 (homeassistant) — CWE-80
Surface d'attaque : param.seriesName / name / getStatisticLabel / computeStateName
Correctif : 2026.7.0 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une vulnérabilité (CWE-80) affecte homeassistant. Les attaquants atteignent le code vulnérable via param.seriesName.
Consultez l'avis de l'éditeur pour les versions affectées de homeassistant. Surface d'attaque : param.seriesName / name / getStatisticLabel / computeStateName.
Gravité : ?. Risque d'opérations non autorisées ou de divulgation.
Mettre à jour vers 2026.7.0.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'homeassistant' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
homeassistantを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade homeassistant to 2026.7.0ステージング環境で 2026.7.0 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- advisory github.com
- advisory nvd.nist.gov
- package github.com
- package pypi.org
- web github.com
- web github.com
- web github.com
- web github.com