CVE-2026-59177：ESPHome Device Builder 允許未授權存取 Dashboard
CVE-2026-59177 - ESPHome Device Builder allows unauthenticated dashboard access via the HA add-on ingress site bound to all interfaces
ESPHome Device Builder Dashboard 在 1.0.10 之前版本允許本地網路裝置未授權存取，造成完整 Dashboard 及執行任意程式的風險。
此漏洞允許本地網路裝置直接存取 ESPHome Dashboard，影響 Home Assistant 1.0.10 之前版本，需即時升級以防止未授權存取。
譯文尚未完整，完整內容請切換至原文。
ESPHome Device Builder Dashboard 是 ESPHome 家居管理軟體的儀錶板。 在 1.0.10 之前，`Home Assistant` 加速器的受信任 `ingress` 網站繫結至 `0.0.0.0`，並故意跳過儀錶板驗證，因為預期監督者會在上游對請求進行驗證。 主機網路，為了 mDNS，需要將此無驗證站點繫結至 `Home Assistant` 主機的 LAN 介面。 任何連線於此本地網路的裝置因此可以直接連線至 `ingress` 埠，繞過監督者，並取得完整儀錶板而不需要憑證或操作員錯誤設定。 儀錶板功能包括透過 `external_components:` 的編譯時 Python 執行、透過編譯與驗證子流程的 shell 執行，以及對設定與資料檔案的任意存取，危及掛載的 `Home Assistant` 設定與管理的 ESPHome 裝置。獨立 Docker 儀錶板與受密碼保護的公開埠 6052 未受影響。此問題已於 1.0.10 版修復。
影響
受影響產品
以下產品受到 CVE-2026-59177 的影響
漏洞。
即使 cvefeed.io 知道確切版本的
產品
其
之
受影響，資訊並未呈現在下表中。
尚未記錄受影響產品
公共漏洞評分系統是一個標準化的框架，用於評估軟體和系統漏洞的嚴重程度。 我們從各種來源收集並顯示每個 CVE 的 CVSS 分數。
| 分數 | 版本 | 嚴重性 | 向量 | 可利用性分數 | 影響分數 | 來源 |
|---|---|---|---|---|---|---|
| CVSS 3.1 | 高 | github | ||||
| CVSS 3.1 | 高 | MITRE-CVE | ||||
| CVSS 3.1 | 高 | [email protected] |
將 ESPHome 加速器更新至包含 device-builder 1.0.10 或更新版本。
- 將 Home Assistant 加速器更新至 1.0.10 版。
- 限制對 ingress 埠的網路存取。
- 確保所有網路流量在上游已經驗證。
在此，您將找到一份精選的外部連結清單，提供有關 CVE-2026-59177 的深入資訊、實用解決方案與有價值的工具。
CVE 主要識別漏洞的具體例項，而 CWE 則將可能導致漏洞的常見缺陷或弱點分類。CVE-2026-59177 與以下 CWEs 相關聯：
Common Attack Pattern Enumeration and Classification (CAPEC)
儲存攻擊模式，這些模式描述了對手利用 CVE-2026-59177 弱點所採用的常見屬性和方法。
我們掃描 GitHub 倉庫以偵測新的概念驗證漏洞利用。以下清單列出已在 GitHub 釋出的公開漏洞利用與概念驗證，按最近更新時間排序。
由於潛在的效能問題，結果僅限於前 15 個倉庫。
以下清單為文章中提及 CVE-2026-59177 漏洞的新聞。
以下表格列出了 CVE-2026-59177 漏洞隨時間所做的變更。
漏洞歷史細節有助於瞭解漏洞的演變，並辨識可能影響漏洞嚴重性、可利用性或其他特徵的最新變更。
-
新增 CVE 已接收 由 [email protected]
十月. 28, 2026
動作 型別 舊值 新值 新增 描述 ESPHome Device Builder Dashboard 是 ESPHome 家居管理軟體的儀錶板。 在 1.0.10 之前，`Home Assistant` 載入元件的可信 `ingress` 網站繫結至 `0.0.0.0`，並故意跳過儀錶板驗證，因為預期主管機制會在上游驗證請求。主機網路（為 mDNS 所需）亦將此無驗證站點繫結至 `Home Assistant` 主機的 LAN 介面。因此，任何位於該本地網路的裝置都能直接連線至 `ingress` 埠，繞過主管機制，並在未提供憑證或操作員錯誤設定的情況下取得完整儀錶板。儀錶板功能包括透過 `external_components:` 進行編譯時期 Python 執行、透過編譯與驗證子流程執行 shell，以及對設定與資料檔案的任意存取，從而危及掛載的 `Home Assistant` 設定與管理中的 ESPHome 裝置。獨立 Docker 儀錶板與受密碼保護的公開埠 6052 未受影響。此問題已於 1.0.10 版修復。 新增 CVSS V3.1 AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 新增 CWE CWE-1327 新增 受影響 New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/59xxx/CVE-2026-59177.json">CVE-2026-59177</a> 新增 參考 https://github.com/esphome/device-builder/commit/b6387db3f8bf1d3df5771f40e9856b959ae4f6a1 新增 參考 https://github.com/esphome/device-builder/pull/1565 新增 參考 https://github.com/esphome/device-builder/releases/tag/1.0.10 新增 參考 https://github.com/esphome/device-builder/security/advisories/GHSA-vv4j-m4vr-f3g6
EPSS 是每日估算在接下來 30 天內觀測到利用活動的機率。下圖顯示此漏洞的 EPSS 分數歷史。