p PatchFirst

CVE-2026-33045

CVE-2026-33045 · Home Assistant has stored XSS in history-graphs

This page contains facts from public vulnerability sources. Check the original advisory before updating.

Home Assistant is open source home automation software that puts local control and privacy first. Starting in version 2025.02 and prior to version 2026.01 the "remaining charge time"-sensor for mobile phones (imported/included from Android Auto it appears) is vulnerable cross-site scripting, similar to CVE-2025-62172. Version 2026.01 fixes the issue.

CVSS 7.3 · High · EPSS 0.2% · Fix available

Published
Updated

Stack: python

Affected products and versions

  • core

    Versions
    • >= 2025.02, < 2026.01: Affected

    No fix published

  • homeassistant PyPI

    Versions
    • 2025.10.0
    • 2025.10.0b0
    • 2025.10.0b1
    • 2025.10.0b2
    • 2025.10.0b4
    • 2025.10.0b5
    • 2025.10.0b6
    • 2025.10.0b7
    • 2025.10.1
    • 2025.10.2
    • 2025.10.3
    • 2025.10.4
    • 2025.11.0
    • 2025.11.0b0
    • 2025.11.0b1
    • 2025.11.0b2
    • 2025.11.0b3
    • 2025.11.0b4
    • 2025.11.0b5
    • 2025.11.0b6
    • 2025.11.1
    • 2025.11.2
    • 2025.11.3
    • 2025.12.0
    • 2025.12.0b0
    • 2025.12.0b1
    • 2025.12.0b2
    • 2025.12.0b3
    • 2025.12.0b4
    • 2025.12.0b5
    • 2025.12.0b6
    • 2025.12.0b7
    • 2025.12.0b8
    • 2025.12.0b9
    • 2025.12.1
    • 2025.12.2
    • 2025.12.3
    • 2025.12.4
    • 2025.12.5
    • 2025.2.0
    • 2025.2.1
    • 2025.2.2
    • 2025.2.3
    • 2025.2.4
    • 2025.2.5
    • 2025.3.0
    • 2025.3.0b0
    • 2025.3.0b1
    • 2025.3.0b2
    • 2025.3.0b3
    • 2025.3.0b4
    • 2025.3.0b5
    • 2025.3.0b6
    • 2025.3.0b7
    • 2025.3.0b8
    • 2025.3.1
    • 2025.3.2
    • 2025.3.3
    • 2025.3.4
    • 2025.4.0
    • 2025.4.0b0
    • 2025.4.0b1
    • 2025.4.0b10
    • 2025.4.0b11
    • 2025.4.0b12
    • 2025.4.0b13
    • 2025.4.0b14
    • 2025.4.0b15
    • 2025.4.0b2
    • 2025.4.0b3
    • 2025.4.0b4
    • 2025.4.0b5
    • 2025.4.0b6
    • 2025.4.0b7
    • 2025.4.0b8
    • 2025.4.0b9
    • 2025.4.1
    • 2025.4.2
    • 2025.4.3
    • 2025.4.4
    • 2025.5.0
    • 2025.5.0b0
    • 2025.5.0b1
    • 2025.5.0b10
    • 2025.5.0b2
    • 2025.5.0b3
    • 2025.5.0b4
    • 2025.5.0b5
    • 2025.5.0b6
    • 2025.5.0b7
    • 2025.5.0b8
    • 2025.5.0b9
    • 2025.5.1
    • 2025.5.2
    • 2025.5.3
    • 2025.6.0
    • 2025.6.0b0
    • 2025.6.0b1
    • 2025.6.0b2
    • 2025.6.0b3
    • 2025.6.0b4
    • 2025.6.0b5
    • 2025.6.0b6
    • 2025.6.0b7
    • 2025.6.0b8
    • 2025.6.0b9
    • 2025.6.1
    • 2025.6.2
    • 2025.6.3
    • 2025.7.0
    • 2025.7.0b0
    • 2025.7.0b1
    • 2025.7.0b2
    • 2025.7.0b3
    • 2025.7.0b4
    • 2025.7.0b5
    • 2025.7.0b6
    • 2025.7.0b7
    • 2025.7.0b8
    • 2025.7.0b9
    • 2025.7.1
    • 2025.7.2
    • 2025.7.3
    • 2025.7.4
    • 2025.8.0
    • 2025.8.0b0
    • 2025.8.0b1
    • 2025.8.0b2
    • 2025.8.0b3
    • 2025.8.0b4
    • 2025.8.0b5
    • 2025.8.1
    • 2025.8.2
    • 2025.8.3
    • 2025.9.0
    • 2025.9.0b0
    • 2025.9.0b1
    • 2025.9.0b2
    • 2025.9.0b3
    • 2025.9.0b4
    • 2025.9.0b5
    • 2025.9.0b6
    • 2025.9.1
    • 2025.9.2
    • 2025.9.3
    • 2025.9.4
    • 2026.1.0b0
    • 2026.1.0b1
    • 2026.1.0b2
    • 2026.1.0b3
    • 2026.1.0b4
    • 2026.1.0b5
    Affected ranges
    • ECOSYSTEM: ≥ 2025.02, < 2026.01

    Update to 2026.01

Original sources

Check your server →