Home Assistant Core

Eine kritische Sicherheitslücke in Home Assistant ermöglichte es Angreifern, die Authentifizierung zu umgehen und auf die Supervisor-API zuzugreifen. Betroffen waren Home Assistant OS und Supervised-Installationen mit Supervisor 2023.03.2 oder älter.

Eine Schwachstelle in der Home Assistant iOS/macOS App bis Version 2023.4 ermöglicht es Angreifern, über bösartige Links oder QR-Codes beliebige Dienste im Home Assistant System des Opfers auszuführen, was zu Systemkompromittierung führen kann.

Eine Schwachstelle in Home Assistant Core ermöglicht es Angreifern, über den hassio.addon_stdin Service unerlaubte Anfragen an interne Supervisor-APIs zu senden, was zu Ferncode-Ausführung führen kann.

Die Home Assistant Android-App bis Version 2023.8.2 kann beliebige URLs in einer WebView laden, wodurch Angreifer schädlichen JavaScript-Code ausführen und Anmeldedaten stehlen können.

Eine Schwachstelle in Home Assistant's GitHub Actions ermöglicht es Angreifern, Befehle einzuschleusen und dadurch geheime Daten zu stehlen oder das Repository zu manipulieren.

Home Assistant Core setzt keine HTTP-Sicherheitsheader wie X-Frame-Options, wodurch Angreifer Nutzer durch Clickjacking-Angriffe dazu bringen können, schädliche Add-ons zu installieren und damit Fernzugriff auf das System zu erlangen.

Eine Schwachstelle in Home Assistant Core ermöglicht es Angreifern, bösartige Links zu erstellen, die das Frontend dazu zwingen, sich mit einem gefälschten WebSocket-Server zu verbinden, was zu Cross-Site-Scripting-Angriffen und vollständiger Systemübernahme führen kann.

Home Assistant Core hat eine Schwachstelle, bei der Webhooks über öffentliche URLs ohne Authentifizierung ausgelöst werden können, obwohl sie als nur lokal zugänglich konfiguriert sind.

Eine Schwachstelle in Home Assistant Core ermöglicht es Angreifern, schädlichen JavaScript-Code über manipulierte Login-Weiterleitungen auszuführen, was zur vollständigen Übernahme des Home Assistant-Kontos und der Installation führen kann.

Home Assistant Core hat eine Schwachstelle im Login-System, bei der Angreifer die Weiterleitung manipulieren können, um Zugangsdaten zu stehlen, wenn Nutzer auf präparierte Links klicken und ihre Installation öffentlich zugänglich ist.

Home Assistant Core zeigt auf der Anmeldeseite alle aktiven Benutzerkonten an, ohne dass eine Authentifizierung erforderlich ist, wenn die Anfrage aus dem lokalen Netzwerk stammt.

Home Assistant Core hat eine Schwachstelle bei der SSL-Zertifikatsprüfung, wodurch Man-in-the-Middle-Angriffe möglich werden. Durch falsche Verwendung des ssl-Parameters in HTTP-Anfragen wird die Zertifikatsprüfung unbeabsichtigt deaktiviert, was Angreifern ermöglicht, verschlüsselte Verbindungen ab

Home Assistant Core ist anfällig für Cross-Site-Scripting-Angriffe, wenn bösartige HTML-Inhalte in Entitätsnamen eingefügt werden, die dann in der Energie-Dashboard-Ansicht beim Überfahren mit der Maus ausgeführt werden.

Eine Schwachstelle in Home Assistant Core ermöglicht es authentifizierten Benutzern, schädlichen Code in Gerätenamen einzufügen, der dann als Cross-Site-Scripting-Angriff auf andere Benutzer ausgeführt wird, wenn diese über Datenpunkte in Karten-Dashboards fahren.

Eine Schwachstelle in Home Assistant Core ermöglicht Cross-Site-Scripting-Angriffe über bösartige Sensornamen in Verlaufsdiagrammen, wodurch Angreifer JavaScript-Code in anderen Benutzersitzungen ausführen und Konten übernehmen können.

Home Assistant Apps mit Host-Netzwerk-Modus machen interne Docker-Schnittstellen fälschlicherweise für das lokale Netzwerk erreichbar, wodurch Angreifer ohne Authentifizierung auf kritische Funktionen wie Shell-Zugang zugreifen können.

Eine Sicherheitslücke in den Home Assistant Companion Apps für Android und iOS ermöglicht es bösartigen Webseiten in eingebetteten Frames, die Zugangstokens von angemeldeten Nutzern zu stehlen und damit vollen Zugriff auf deren Smart-Home-System zu erlangen.

Wartungsupdate mit Fehlerbehebungen für verschiedene Integrationen und Abhängigkeits-Updates

Beta release adding zone-based triggers and conditions for automation, improving media player code quality, updating various dependencies, fixing SwitchBot Blind Tilt errors, preventing log spam, and enhancing error handling across multiple integrations.

Beta release updating intents library to version 2026.6.1, improving WebSocket condition testing by removing error logging, adding Bluetooth reachability diagnostics for Avea devices, and updating the frontend interface to version 20260527.4.

Unable to analyze release notes as the provided URL appears to be for a future version (2026.6.0) that does not exist yet. No changelog content was accessible to determine changes or breaking modifications.

Beta release containing numerous bug fixes across integrations including MQTT valve state handling, Apple TV streaming issues, backup security improvements, and various sensor/device connectivity problems. Includes dependency updates and minor feature enhancements.

Beta release containing various bug fixes including media player platform improvements for Alexa devices, proper user-agent for feed fetching, Bluetooth device discovery error explanations, dependency updates, and fixes for ProxmoxVE and iCloud integrations.

Beta release announcement for Home Assistant Core 2026.6.0b0 with incomplete release notes, testing instructions, and issue reporting guidelines for the beta period.

Patch release fixing multiple crashes and bugs across various integrations including SmartThings, PowerView, Wyoming satellite, Lutron Caseta, and Hue. Updates several dependencies and resolves translation issues. Addresses stability problems that could cause component failures.

Patch release fixing numerous crashes and bugs across multiple integrations including Apple TV, Overkiz covers, utility meters, template conditions, and various device-specific issues. Updates several dependencies and resolves startup blocking problems in Google Assistant and GoodWe integrations.

Patch release containing numerous bug fixes across integrations including LG ThinQ, SmartThings, Comelit, and others. Includes dependency updates and one breaking change in Duco integration that removes temperature sensors and migrates to new connectivity library.

Patch release containing bug fixes for multiple integrations including WiZ lights, IntelliFire, Overkiz covers, Z-Wave discovery, and various dependency updates. Fixes connection timeouts, state handling issues, and crash conditions across different device integrations.

Beta release adding new automation triggers and conditions for media players, improving error handling for energy data updates, enhancing Matter fan controls, fixing Zinvolt select options, and updating various dependencies including frontend and library components.

Beta release removes internal method from EntityConditionBase, excludes incompatible entities from climate/water heater/humidifier automations, improves template entity cleanup, and updates Tibber integration dependency.

Unable to analyze release notes as the provided URL appears to be for a future version (2026.5.0) that does not exist yet. No changelog content was accessible to determine changes, breaking compatibility, or severity level.

Beta release with various improvements including new media player muted trigger, template reload enhancements, script teardown race condition fix, device class additions for weather sensors, multiple dependency updates, and bug fixes for uptime sensors and config validation across several integratio

Beta release containing various bug fixes and improvements across multiple integrations including Hive authentication, OpenAI reasoning, Victron GX device mapping, Broadlink infrared support, cover position fixes, sensor corrections, and frontend updates. No breaking changes identified.

Beta release announcement for Home Assistant Core 2026.5.0b0 with incomplete release notes, testing instructions, and issue reporting guidelines for the beta period.

Patch release addressing various integration bugs including Kodi media browsing, Victron BLE authentication issues, Google AI TTS case sensitivity, MQTT light color mode restoration, and API rate limiting improvements for Tractive. Also includes dependency updates and user validation enhancements.

Patch release addressing various integration bugs including crashes in Proxmox VE storage monitoring, template binary sensor device class issues, incorrect units in OpenEVSE and Growatt sensors, ESPHome color temperature problems, Wyoming satellite memory leaks, VOIP event loop blocking, and MQTT en

Bug fix release addressing various integration issues including meter disconnection handling, state corrections for LG soundbars and FRITZ!Box switches, authentication flow fixes, backup encryption calculations, and dependency updates across multiple integrations.

Beta release with backup storage improvements to use temporary directory and frontend update to version 20260325.5.

Beta release containing minor fixes and dependency updates including grammar correction for victron_ble error message, Chess.com player stats fetching fix, BMW integration repair skeleton addition, Dropbox integration extraction, and version bumps for multiple libraries including solarlog_cli, led-b

Unable to analyze release notes as the provided URL appears to be for a future version (2026.4.0) that does not exist yet, making the changelog inaccessible for review.

Improved translation system performance by implementing asynchronous download functionality for language files.

Beta release with action naming improvements, bug fixes for nrgkick phase count and ista EcoTrend coordinator, new timer and calendar conditions, counter-specific conditions, platform registration optimizations, and frontend update to version 20260325.4.

Beta release adding weather humidity conditions, select conditions, device registry improvements, dependency updates for idasen-ha and aioamazondevices, missing Miele program codes, legacy entity naming, and frontend update to version 20260325.2.

Beta release adding new automation triggers for humidifier mode changes and battery events, Google Drive backup progress tracking, dependency updates for sense-energy and asyncsleepiq libraries, trigger/condition schema adjustments, and reverting a Z-Wave door sensor repair issue change.