Home Assistant EcosystemのHome Assistant Command-line Interface (hass-cli)における複数の脆弱性
| Title |
Home Assistant EcosystemのHome Assistant Command-line Interface (hass-cli)における複数の脆弱性
|
| Summary |
Home Assistantのコマンドラインインターフェース（hass-cli）は、Home Assistantのためのコマンドラインツールです。home-assistant-cliのバージョン1.0.0まで、Jinja2テンプレートを処理する際にサンドボックス化されていない環境が使用されていました。ユーザーから提供されたJinja2テンプレート内の入力は、制限なくローカルでレンダリングされていました。これにより、ユーザーはPythonの内部構造にアクセスでき、テンプレートの使用範囲が意図したものを超えて拡大してしまいました。この脆弱性はバージョン1.0.0で修正されました。
|
| Possible impacts |
当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアは停止しません。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 |
| Solution |
正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date |
April 21, 2026, midnight |
| Registration Date |
April 30, 2026, 12:13 p.m. |
| Last Update |
April 30, 2026, 12:13 p.m. |
|
CVSS3.0 : 警告
|
| Score |
5.6
|
| Vector |
CVSS:3.0/AV:L/AC:H/PR:H/UI:R/S:U/C:H/I:H/A:N |
Affected System
| Home Assistant Ecosystem |
|
Home Assistant Command-line Interface (hass-cli) 1.0.0 未満
|
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
その他
Change Log
| No |
Changed Details |
Date of change |
| 1 |
[2026年04月30日]
掲載 |
April 30, 2026, 12:13 p.m. |
NVD Vulnerability Information
CVE-2026-40602
| Summary |
The Home Assistant Command-line interface (hass-cli) is a command-line tool for Home Assistant. Up to 1.0.0 of home-assitant-cli an unrestricted environment was used to handle Jninja2 templates instead of a sandboxed one. The user-supplied input within Jinja2 templates was rendered locally with no restrictions. This gave users access to Python's internals and extended the scope of templating beyond the intended usage. This vulnerability is fixed in 1.0.0.
|
| Publication Date |
April 22, 2026, 3:16 a.m. |
| Registration Date |
April 25, 2026, 4:03 a.m. |
| Last Update |
April 28, 2026, 4:43 a.m. |
Affected software configurations
| Configuration1 |
or higher |
or less |
more than |
less than |
| cpe:2.3:a:home-assistant-ecosystem:home_assistant_command-line_interface:*:*:*:*:*:*:*:* |
|
|
|
1.0.0 |
Related information, measures and tools
Common Vulnerabilities List