Veille sécuritéFrontend
P2Critique
La carte Statistics Graph de Home Assistant injecte des noms d’entités dans les infobulles ECharts sous forme de HTML brut. Un nom d’entité contrôlé peut déclencher une XSS lors du survol d’un point de données.
JavaScriptHTML5Home Assistant
IdentifiantCVE-2026-91130
EPSS—
Exploitationaucune connue selon la source
Correctif2026.7.0
Analyse technique
Le composant statistics-chart interpole param.seriesName dans une chaîne HTML servant à l’infobulle ECharts sans appeler la fonction filterXSS utilisée dans un autre composant de graphique. Le libellé provient du nom de l’entité et traverse les fonctions de calcul de nom sans encodage HTML.
Impact, versions et correctif
VecteurRéseau ou chaîne d’approvisionnement d’intégration, via un nom d’entité malveillant affiché dans une carte Statistics Graph.
PréconditionsUn attaquant doit pouvoir définir le nom d’une entité, directement ou par une intégration fournissant des entités. La victime doit afficher une carte Statistics Graph de type ligne et survoler une donnée.
ImpactExécution de JavaScript dans le navigateur d’un utilisateur Home Assistant ; l’avis évoque aussi un scénario via un fournisseur ou une intégration qui fournit automatiquement des noms d’entités.
Versions affectéeshomeassistant < 2026.7.0
Version corrigée2026.7.0
ContournementÉviter d’afficher des entités non fiables dans les cartes Statistics Graph ; neutraliser ou encoder les noms d’entités avant leur insertion dans les infobulles.
Exploitation activeaucune connue selon la source
PoC publicoui
CVSS9.3 · CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:A/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
Publication2026-09-22T20:40:55Z
Mise à jour2026-09-22T20:40:58Z
Détection / vérification
Rechercher des noms d’entités contenant du balisage HTML ou des gestionnaires d’événements ; examiner les intégrations récentes et les tableaux de bord qui utilisent des cartes Statistics Graph.
Action recommandée
Mettre à niveau Home Assistant vers 2026.7.0 et contrôler les noms d’entités issus des intégrations ou des capteurs personnalisés.
Sources
Priorisation DFS : P2 · confiance de recoupement standard · 1 source(s).