p PatchFirst

CVE-2026-59177

CVE-2026-59177 · ESPHome Device Builder allows unauthenticated dashboard access via the HA add-on ingress site bound to all interfaces

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

ESPHome Device Builder Dashboard is a dashboard for the ESPHome home management software. Prior to 1.0.10, the `Home Assistant` add-on's trusted `ingress` site binds to `0.0.0.0` while intentionally skipping dashboard authentication because the supervisor is expected to authenticate requests upstream. Host networking, required for mDNS, also binds this no-auth site to the `Home Assistant` host's LAN interface. Any device on that local network can therefore connect directly to the `ingress` port, bypass the supervisor, and obtain the full dashboard without credentials or operator misconfiguration. Dashboard capability includes compile-time Python execution through `external_components:`, shell execution through compile and validation subprocesses, and arbitrary access to configuration and data files, compromising the mounted `Home Assistant` configuration and managed ESPHome devices. The standalone Docker dashboard and the password-gated public port 6052 are not affected. This issue is fixed in version 1.0.10.

CVSS 8.8 · Alta · EPSS 1,2% · Código de explotación público · Corrección disponible

Publicación
Actualización

Pila tecnológica: python

Productos y versiones afectados

  • device-builder

    Versiones
    • < 1.0.10: Afectada

    Sin corrección publicada

  • esphome-device-builder PyPI

    Versiones
    • 0.1.0b10
    • 0.1.0b100
    • 0.1.0b101
    • 0.1.0b102
    • 0.1.0b103
    • 0.1.0b104
    • 0.1.0b105
    • 0.1.0b106
    • 0.1.0b107
    • 0.1.0b108
    • 0.1.0b109
    • 0.1.0b11
    • 0.1.0b110
    • 0.1.0b111
    • 0.1.0b112
    • 0.1.0b113
    • 0.1.0b114
    • 0.1.0b115
    • 0.1.0b116
    • 0.1.0b117
    • 0.1.0b118
    • 0.1.0b119
    • 0.1.0b12
    • 0.1.0b13
    • 0.1.0b14
    • 0.1.0b15
    • 0.1.0b16
    • 0.1.0b17
    • 0.1.0b18
    • 0.1.0b19
    • 0.1.0b20
    • 0.1.0b21
    • 0.1.0b22
    • 0.1.0b23
    • 0.1.0b24
    • 0.1.0b25
    • 0.1.0b26
    • 0.1.0b27
    • 0.1.0b28
    • 0.1.0b29
    • 0.1.0b30
    • 0.1.0b31
    • 0.1.0b32
    • 0.1.0b33
    • 0.1.0b34
    • 0.1.0b35
    • 0.1.0b36
    • 0.1.0b37
    • 0.1.0b38
    • 0.1.0b39
    • 0.1.0b40
    • 0.1.0b41
    • 0.1.0b42
    • 0.1.0b43
    • 0.1.0b44
    • 0.1.0b45
    • 0.1.0b46
    • 0.1.0b47
    • 0.1.0b48
    • 0.1.0b49
    • 0.1.0b50
    • 0.1.0b51
    • 0.1.0b52
    • 0.1.0b53
    • 0.1.0b54
    • 0.1.0b55
    • 0.1.0b56
    • 0.1.0b57
    • 0.1.0b58
    • 0.1.0b59
    • 0.1.0b60
    • 0.1.0b61
    • 0.1.0b62
    • 0.1.0b63
    • 0.1.0b64
    • 0.1.0b65
    • 0.1.0b66
    • 0.1.0b67
    • 0.1.0b68
    • 0.1.0b69
    • 0.1.0b70
    • 0.1.0b71
    • 0.1.0b72
    • 0.1.0b73
    • 0.1.0b74
    • 0.1.0b75
    • 0.1.0b76
    • 0.1.0b77
    • 0.1.0b78
    • 0.1.0b79
    • 0.1.0b80
    • 0.1.0b81
    • 0.1.0b82
    • 0.1.0b83
    • 0.1.0b84
    • 0.1.0b85
    • 0.1.0b86
    • 0.1.0b87
    • 0.1.0b88
    • 0.1.0b89
    • 0.1.0b90
    • 0.1.0b91
    • 0.1.0b92
    • 0.1.0b93
    • 0.1.0b94
    • 0.1.0b95
    • 0.1.0b96
    • 0.1.0b97
    • 0.1.0b98
    • 0.1.0b99
    • 1.0.0
    • 1.0.1
    • 1.0.10b1
    • 1.0.10b2
    • 1.0.2b1
    • 1.0.2b2
    • 1.0.2b3
    • 1.0.2b4
    • 1.0.3
    • 1.0.4
    • 1.0.5
    • 1.0.6
    • 1.0.7
    • 1.0.8
    • 1.0.9
    Intervalos de versiones afectados
    • ECOSYSTEM: < 1.0.10

    Actualiza a 1.0.10

Fuentes originales

Comprueba tu servidor →