Krytyczny Odebrany

CVE-2026-59178

opublikowano: 14.09.2026, 21:17

modyfikacja: 14.09.2026, 21:17

Ocena CVSS

9.8

Krytyczny · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

ESPHome Device Builder Dashboard to pulpit nawigacyjny oprogramowania do zarządzania domem ESPHome. Przed wersją 1.0.12 pulpit nawigacyjny odczytuje dane uwierzytelniające z `$ESPHOME_USERNAME` i `$ESPHOME_PASSWORD`. Wcześniejsze wersje i starszy panel `esphome` zamiast tego czytały same `$USERNAME` i `$PASSWORD`. Kiedy zmieniono nazwy zmiennych środowiskowych, same nazwy zostały usunięte bez żadnych rozwiązań zastępczych, więc operator, który chronił swój pulpit nawigacyjny za pomocą `USERNAME` / `HASŁO` (jak udokumentowano w starszym przewodniku wprowadzającym), traci uwierzytelnianie podczas aktualizacji, a pulpit nawigacyjny zaczyna być otwarty dla każdego, kto może uzyskać dostęp do jego portu. Problem został rozwiązany w wersji 1.0.12. Same `$USERNAME` / `$PASSWORD` są ponownie akceptowane jako przestarzałe rozwiązanie awaryjne, więc wcześniej chronione instancje pozostają chronione podczas aktualizacji bez interwencji operatora, z głośnym ostrzeżeniem o wycofaniu przy uruchomieniu, nakazującym operatorom zmianę ich nazwy na `$ESPHOME_USERNAME` / `$ESPHOME_PASSWORD`. Rezerwa awaryjna jest bramkowana po ustawieniu `$PASSWORD` i jest przyjmowana tylko jako para, więc system operacyjny dostarczony `$USERNAME` nigdy nie jest czytany samodzielnie, a oryginalny pistolet kolizyjny pozostaje zamknięty. Samotne „$HASŁO” bez nazwy użytkownika nadal kończy się niepowodzeniem z powodu niezgodności danych uwierzytelniających, zamiast zaczynać bez uwierzytelnienia. Przywraca to zgodność zamiast zamykać się w przypadku starszych nazw, ponieważ priorytetem jest to, aby instancja, która była chroniona przed aktualizacją, pozostała chroniona bez konieczności podejmowania działań przez operatora; ostrzeżenie o wycofaniu i przyszłe usunięcie obsługują migrację. Operatorzy powinni dokonać migracji do nazw `$ESPHOME_*`. Kontener esphome dostarcza poprawkę w wydaniu 2026.6.2, która podwyższa przypiętą wersję `esphome-device-builder` do 1.0.12. Bez aktualizacji natychmiast przywróć uwierzytelnianie, ustawiając nowe env vars na te same wartości w dowolnej wersji, której dotyczy problem. Alternatywnie nie udostępniaj portu dashboardu niezaufanym sieciom i sprawdź w logach startowych baner `BEZ UWIERZYTELNIENIA`, aby potwierdzić, czy dana instancja jest aktualnie otwarta.

ESPHome Device Builder Dashboard is a dashboard for the ESPHome home management software. Prior to version 1.0.12, the dashboard reads its authentication credentials from `$ESPHOME_USERNAME` and `$ESPHOME_PASSWORD`. Earlier versions, and the legacy `esphome` dashboard, read the bare `$USERNAME` and `$PASSWORD` instead. When the env vars were renamed the bare names were dropped with no fallback, so an operator who had protected their dashboard with `USERNAME` / `PASSWORD` (as the older getting started guide documented) loses authentication on upgrade and the dashboard starts open to anyone who can reach its port. The issue is fixed in 1.0.12. The bare `$USERNAME` / `$PASSWORD` are accepted again as a deprecated fallback so previously protected instances stay protected across the upgrade without operator intervention, with a loud deprecation warning at startup directing operators to rename them to `$ESPHOME_USERNAME` / `$ESPHOME_PASSWORD`. The fallback is gated on `$PASSWORD` being set and is only adopted as a pair, so the OS provided `$USERNAME` is never read on its own and the original collision footgun stays closed. A lone bare `$PASSWORD` with no username still fails loud as a credential mismatch rather than starting unauthenticated. This restores compatibility rather than failing closed on the legacy names, because the priority is that an instance which was protected before the upgrade stays protected without the operator having to act; the deprecation warning plus a future removal handles the migration. Operators should migrate to the `$ESPHOME_*` names. The esphome container delivers the fix in the 2026.6.2 release, which bumps its pinned `esphome-device-builder` version to 1.0.12. Without upgrading, restore authentication immediately by setting the new env vars to the same values, on any affected version. Alternatively, do not expose the dashboard port to untrusted networks, and check the startup logs for the `WITHOUT AUTHENTICATION` banner to confirm whether a given instance is currently open.

>_ Słabości (CWE)

CWE-306

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve