RealFeedApp Два класса токенов никогда не истекают
Исследование показало, что секреты токенов и ключи подписи JWT для всех пользователей зашифрованы в открытом виде в файле config/.storage/auth, в то время как пароли хешируются. Это уязвимость в версии 2026.11.0, которая затрагивает две миллиона домохозяйств.
- Область
- компьютерная безопасность
- Что сделали
- Исследователи обнаружили, что в системе Home Assistant секретные данные для токенов (ключи для входа) хранятся в открытом виде в файле, тогда как пароли пользователей зашифрованы. Это означает, что злоумышленник может получить доступ к функционалу пользователя, просто прочитав этот файл, не зная его пароля.
- Зачем это
- Это создает критическую уязвимость для безопасности миллионов домохозяйств, использующих систему, так как защита токенов не соответствует заявленному уровню защиты паролей.
#home assistant#security#token#plaintext#hass
