Home Assistant Companion WebView JS桥注入RCE漏洞

漏洞概述 漏洞名称: Cross-origin iframe access token exfiltration via WebView JS bridge callback injection 描述: Home Assistant Companion app for Android and iOS 存在两个安全漏洞，允许攻击者通过跨域 iframe 获取用户的访问令牌。具体包括： 1. Bridge 暴露给所有 iframe: 在 Android 上， 注入的对象被所有 iframe 访问，包括跨域 iframe。 2. 未 sanitization 的回调注入: 和 的回调字段被直接插入到 JavaScript 字符串中，导致任意 JavaScript 代码执行。 影响范围 受影响版本: - Home Assistant Companion app (Android): 所有版本在 2026.4.4 之前 - Home Assistant Companion app (iOS): 所有版本在 2026.4.1 之前 影响: - 攻击者可以获取用户的访问令牌，从而获得对 Home Assistant 的完全 REST API 访问权限。 - 可以控制任何设备、自动化或脚本。 - 可以读取所有实体状态。 - 可以管理自动化、脚本和用户。 修复方案 Android: - 引入新的 桥接，使用 与帧和源进行通信。 - 限制 和 的回调字段，只允许特定的标识符。 iOS: - 加强 以验证 和完整的 源匹配。 POC 代码 其他信息 CVSS 评分: 8.3 / 10 报告者: Kustubbs (Kevin Stubbings) 修复版本: - Home Assistant Companion for Android: 2026.4.4 - Home Assistant Companion for iOS: 2026.4.1 工作区 如果无法立即更新： 从仪表板中移除任何 Webpage（iframe）卡片。 避免在应用更新之前嵌入第三方 URL（天气小部件、状态页面、外部仪表板）通过 Webpage 卡片。 CWE CWE-749: Exposed Dangerous Method or Function CWE-94: Improper Control of Generation of Code (Code Injection) CWE-940: Improper Verification of Source of a Communication Channel CWE-346: Origin Validation Error 致谢 此漏洞由 GitHub Security Lab 团队成员 Kustubbs (Kevin Stubbings) 发现并报告。

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

Home Assistant Companion WebView JS桥注入RCE漏洞

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

Home Assistant Companion WebView JS桥注入RCE漏洞

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！