🇰🇷 한글 설명
Home Assistant의 에너지 대시보드에서 저장형 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 인증된 사용자가 에너지 엔티티 이름 필드에 악성 자바스크립트를 삽입하면, 다른 사용자가 대시보드 그래프의 툴팁에 마우스를 올릴 때 해당 코드가 실행될 수 있습니다. 이 문제는 엔티티 이름에 포함된 HTML이 적절히 필터링되지 않아 발생하며, 2025.10.2 버전에서 패치되었습니다.
💡 쉬운 설명
에너지 사용량 그래프를 볼 때 마우스를 올리면 악성 코드가 몰래 실행될 수 있는 보안 약점입니다. 해커가 이름에 몰래 숨겨둔 코드를 통해 사용자의 정보를 훔치거나 조작할 수 있습니다.
🇺🇸 원문 (English)
Home Assistant is open source home automation software that puts local control and privacy first. In versions 2025.1.0 through 2025.10.1, the energy dashboard is vulnerable to stored cross-site scripting. An authenticated user can inject malicious JavaScript code into an energy entity's name field, which is then executed when any user hovers over data points in the energy dashboard graph tooltips. The vulnerability exists because entity names containing HTML are not properly sanitized before being rendered in graph tooltips. This could allow an attacker with authentication to execute arbitrary JavaScript in the context of other users' sessions. Additionally, if an energy provider (such as Tibber) supplies a malicious default name for an entity, the vulnerability can be exploited without direct user action when the default name is used. This issue has been patched in version 2025.10.2. No known workarounds exist.
📍 영향받는 시스템
Home Assistant versions 2025.1.0 through 2025.10.1
⚔️ 공격 벡터
인증된 사용자가 에너지 엔티티 이름에 악성 스크립트를 삽입하거나, 악성 이름을 제공하는 에너지 공급업체를 통해 공격 수행
🛡️ 대응 방법
Home Assistant를 최신 버전인 2025.10.2 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 2025.10.2 미만이면 취약한 상태입니다.
curl -s http://<YOUR_HOME_ASSISTANT_IP>:8123/api/config | jq '.version' 2>/dev/null