PT-2025-41968 · Unknown · Home Assistant

CVE-2025-62172 · Publicado 2025-10-14 · Atualizado 2026-07-07

Positive Technologies (AI Summary) · Pt

CVSS v4.0

9.3

Crítica

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:A/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

Nome do Software Vulnerável e Versões Afetadas Versões do Home Assistant de 2025.1.0 até 2025.10.1

Descrição O Home Assistant é um software de automação residencial que prioriza o controle local e a privacidade. O painel de energia é suscetível a cross-site scripting armazenado. Um usuário autenticado pode injetar código JavaScript malicioso no campo de nome de uma entidade de energia. Esse código é então executado quando qualquer usuário passa o mouse sobre pontos de dados nos tooltips do gráfico do painel de energia. O problema ocorre porque nomes de entidades contendo HTML não são devidamente sanitizados antes da renderização nos tooltips do gráfico. Isso poderia permitir que um atacante autenticado executasse JavaScript arbitrário no contexto das sessões de outros usuários. Se um provedor de energia fornecer um nome padrão malicioso para uma entidade, o problema pode ser explorado sem ação direta do usuário quando o nome padrão for utilizado.

Recomendações Atualize para a versão 2025.10.2 do Home Assistant.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

CWE-80

Identificadores relacionados

CVE-2025-62172

GHSA-MQ77-RV97-285M

PYSEC-2026-1453

Produtos afetados

Home Assistant

Referências · 17

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/62xxx/CVE-2025-62172.json · Exploit
• https://github.com/home-assistant/core · Nota
• https://github.com/home-assistant/core/security/advisories/GHSA-mq77-rv97-285m · Nota
• https://github.com/home-assistant/frontend/blob/c13a80ce5e7ae39f0262444e2b6295a074a96732/src/data/recorder.ts#L329-L339 · Nota
• https://github.com/home-assistant/frontend/blob/c13a80ce5e7ae39f0262444e2b6295a074a96732/src/panels/lovelace/cards/energy/hui-energy-usage-graph-card.ts#L467-L478 · Nota
• https://github.com/home-assistant/frontend/blob/c13a80ce5e7ae39f0262444e2b6295a074a96732/src/panels/lovelace/cards/energy/hui-energy-devices-graph-card.ts#L110 · Nota
• https://github.com/home-assistant/frontend/blob/c13a80ce5e7ae39f0262444e2b6295a074a96732/src/common/entity/compute_state_name.ts · Nota
• https://twitter.com/CVEnew/status/1978932613105750140 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-62172 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-62172 · Nota de Segurança
• https://reddit.com/r/VulnMatter/comments/1o7bmsg/resumen_diario_de_vulnerabilidades_15102025 · Publicação no Reddit
• https://github.com/advisories/GHSA-mq77-rv97-285m · Nota
• https://pypi.org/project/homeassistant · Nota
• https://osv.dev/vulnerability/GHSA-mq77-rv97-285m · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2026-1453 · Aviso do Fabricante