← Retour
CVE-2026-71259
high
CVSS 8.6
ESPHome through 2026.7.0-dev contains an operator-precedence bug in the cv.url() validator in...
Résumé
ESPHome through 2026.7.0-dev contains an operator-precedence bug in the cv.url() validator in...
Résumé IA openai / gpt-4o
Une vulnérabilité référencée **CVE-2026-71259** a été découverte dans CVE-2026-71259.
Des attaquants peuvent cibler un point d'entrée spécifique comme ``and`` à distance pour détourner le produit.
L'exploitation peut entraîner la prise de contrôle totale du système. Score CVSS : 8.6/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « CVE-2026-71259 CVE-2026-71259 » sur le site de l'éditeur.
CVE-2026-71259 (CVE-2026-71259) — CWE-184 / CVSS v3 8.6
Vecteur d'attaque : local / non authentifié
Surface d'attaque : `and` / `external_components`
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
❓ Quel est le problème
ESPHomeの`cv.url()`バリデータでの演算子優先度バグ。
📍 Périmètre concerné
esphome/config_validation.py
🔥 Gravité
任意のPythonコードを実行可能で深刻。
🔧 Comment corriger
演算子優先度を修正し、`or`条件が期待通りに機能するようにする。
🛡️ Contournement
不正な`file:` URIの使用を制限。
🔍 Détection
設定ファイル中の不正な`file:` URIを確認する。