CVE-2021-47942

7.5 Élevée

Publiée le 16/05/2026 à 18:16 · Modifiée le 17/06/2026 à 06:18 · Analysée par le NVD · Source : disclosure@vulncheck.com

Description

Home Assistant Community Store (HACS) prior to 1.10.0 contains a path traversal vulnerability that allows unauthenticated attackers to read sensitive files by traversing directories via the /hacsfiles/ endpoint. Attackers can retrieve the .storage/auth file containing user credentials and refresh tokens, then craft valid JWT tokens to gain administrative access to Home Assistant instances.

Traduire en français

Produits concernés

Scores CVSS

Version	Score	Source	Vecteur
4.0	8.7 Élevée	disclosure@vulncheck.com	`CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X`
3.1	7.5 Élevée	disclosure@vulncheck.com	`CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N`

Faiblesses (CWE)

CWE-22

Références

https://github.com/hacs/integration Product
https://www.exploit-db.com/exploits/49495 Exploit
https://www.home-assistant.io/ Product
https://www.vulncheck.com/advisories/home-assistant-community-store-path-traversal-account-takeover Third Party Advisory

CVE-2021-47942

Description

Produits concernés

Scores CVSS

Faiblesses (CWE)

Références

Ailleurs