🇰🇷 한글 설명
ESPHome 2026.7.0-dev 이하 버전의 cv.url 검증기에서 연산자 우선순위 오류가 발견되었습니다. 이로 인해 netloc(호스트 이름)과 상관없이 file: URI가 검증을 통과하게 되며, 이는 external_components 설정의 git 소스 스키마를 통해 악용될 수 있습니다.
💡 쉬운 설명
프로그램이 웹 주소를 확인하는 과정에서 실수로 컴퓨터 내부 파일 경로를 웹 주소로 착각하여 허용하는 보안 결함입니다. 공격자가 이를 이용해 허가되지 않은 로컬 파일을 불러오도록 유도할 수 있습니다.
🇺🇸 원문 (English)
ESPHome through 2026.7.0-dev contains an operator-precedence bug in the cv.url validator in esphome/config_validation.py. Because binds tighter than , any file: URI passes validation regardless of netloc. This validator gates the field of the external_components YAML directive's git source schema, which is passed to (git supports file:// natively).
📍 영향받는 시스템
ESPHome 2026.7.0-dev 및 그 이전 버전
⚔️ 공격 벡터
external_components YAML 설정의 git 소스 필드에 file: URI를 삽입하여 로컬 파일에 접근
🛡️ 대응 방법
ESPHome을 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 2026.7.0-dev 이하인지 확인하여 취약 여부를 판단합니다.
pip show esphome | grep Version