🇰🇷 한글 설명
Home Assistant 2020.02 이상 2026.01 미만 버전에서, 인증된 사용자가 디바이스 엔티티에 악성 이름을 추가할 수 있어, 해당 엔티티를 포함한 Map 카드 대시보드를 볼 수 있는 사용자를 대상으로 크로스 사이트 스크립팅(XSS) 공격이 가능합니다. 피해자가 정보 지점에 마우스를 올려야 공격이 실행됩니다. 2026.01 버전에서 this 문제가 수정되었습니다.
💡 쉬운 설명
스마트홈 시스템에서 기기 이름에 악성 코드를 숨겨 넣을 수 있는 취약점입니다. 피해자가 지도 화면의 특정 표시에 마우스를 올리면 악성 코드가 실행될 수 있습니다.
🇺🇸 원문 (English)
Home Assistant is open source home automation software that puts local control and privacy first. Starting in version 2020.02 and prior to version 2026.01, an authenticated party can add a malicious name to their device entity, allowing for Cross-Site Scripting attacks against anyone who can see a dashboard with a Map-card which includes that entity. It requires that the victim hovers over an information point. Version 2026.01 fixes the issue.
📍 영향받는 시스템
Home Assistant 2020.02 이상 ~ 2026.01 미만 버전
⚔️ 공격 벡터
인증된 사용자가 디바이스 엔티티 이름에 악성 스크립트를 삽입 → Map 카드 대시보드 조회 시 피해자가 정보 지점에 마우스를 올려 XSS 실행
🛡️ 대응 방법
Home Assistant를 2026.01 이상 버전으로 업데이트
🔧 검증 코드
출력된 버전이 2026.01 미만이면 취약하며, 2026.01 이상이면 패치가 적용된 것입니다.
pip show homeassistant 2>/dev/null | grep -i '^version'