标题:
ESPHome 未认证仪表板访问漏洞
(CVE-2026-59177)
Description:ESPHome Device Builder Dashboard 是 ESPHome 家庭管理软件的一个仪表盘组件。在 1.0.10 版本之前，Home Assistant 附加组件中受信任的 `ingress` 站点绑定到 `0.0.0.0`，并故意跳过了仪表盘的认证流程，因为系统预期由 Supervisor（监督程序）在上游对请求进行认证。此外，为支持 mDNS 所需的主机网络配置，也将该无需认证的站点绑定到了 Home Assistant 宿主机的局域网接口。因此，同一局域网内的任何设备均可直接连接至 `ingress` 端口，绕过 Supervisor，无需凭证或依赖管理员错误配置即可获取完整的仪表盘访问权限。
该仪表盘具备以下危险能力：通过 `external_components:` 实现编译时 Python 代码执行；通过编译和验证子进程执行 shell 命令；以及任意访问配置文件和数据文件。这些能力可导致已挂载的 Home Assistant 配置及受管理的 ESPHome 设备被完全 compromise（被攻破/控制）。
此漏洞不影响独立运行的 Docker 仪表盘，也不影响通过密码保护的公开端口 6052。该问题已在 1.0.10 版本中修复。