Home Assistant: Smartphone Apps ermöglichen Übernahme durch Angreifer
Nutzer von Home Assistant sollten die Companion Apps für Android und iOS umgehend aktualisieren. Ein Sicherheitsproblem in den Apps kann dazu führen, dass Angreifer ein Zugriffstoken abgreifen und sich damit Zugang zur kompletten Home Assistant Instanz verschaffen.
Die Schwachstelle wird als hoch eingestuft und trägt die Kennung CVE 2026 44698. Betroffen ist ein Angriff über eine WebView JavaScript Bridge, mit der über ein eingebundenes Iframe beliebiger JavaScript Code ausgeführt werden kann. Auf diesem Weg können Angreifer den Token des angemeldeten Nutzers auslesen und die Home Assistant REST API mit dessen Rechten verwenden.
Für die Android App steht die fehlerbereinigte Version 2026.4.4 bereit, für iOS die Version 2026.4.1. Wer das Update noch nicht installieren kann, soll Webseiten Karten aus Dashboards entfernen und keine Drittanbieter URLs einbinden.
