🇰🇷 한글 설명
Home Assistant의 Statistics Graph 카드에서 엔티티 이름을 처리할 때 이스케이프 처리를 하지 않아 발생하는 취약점입니다. 인증된 사용자나 악의적인 엔티티 이름을 제공하는 통합 구성요소를 통해 데이터 포인트에 마우스를 올릴 때 스크립트가 실행될 수 있습니다. 이 문제는 2026.7.0 버전에서 수정되었습니다.
💡 쉬운 설명
홈 자동화 프로그램의 그래프 차트에서 이름표를 보여줄 때 보안 처리가 미흡하여 발생합니다. 공격자가 조작된 이름을 설정해두면, 사용자가 그래프에 마우스를 올리는 것만으로도 악성 코드가 실행될 수 있습니다.
🇺🇸 원문 (English)
Home Assistant is open source home automation software focused on local control and privacy. Prior to 2026.7.0, the Statistics Graph card in src/components/chart/statistics-chart.ts passed entity names through getStatisticLabel and computeStateName and interpolated param.seriesName into ECharts tooltip HTML without escaping. An authenticated user or an integration that supplies a malicious default entity name could cause script-related HTML to execute when a viewer hovered over a data point. Mean, State, Sum, and Change fields in the default Line chart configuration were affected, while Bar charts were not. This issue is fixed in version 2026.7.0.
📍 영향받는 시스템
Home Assistant 2026.7.0 미만 버전 (Line chart 구성의 Mean, State, Sum, Change 필드)
⚔️ 공격 벡터
악의적인 엔티티 이름을 가진 통합 구성요소를 통해 HTML/스크립트 주입 (Stored XSS)
🛡️ 대응 방법
Home Assistant를 2026.7.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 2026.7.0 이상의 버전이 표시되면 안전하며, 그 미만이면 취약할 수 있습니다.
ha --version 2>/dev/null | grep -E '2026.7.0|higher'