研究者称Home Assistant改密码后令牌仍有效

安全研究者 knell 在 11 月 4 日发布的分析称，Home Assistant 修改密码后，已签发的令牌仍然有效，除非用户手动删除。他在自己的测试实例上使用 Home Assistant Core 2026.11.0，复制 config/.storage/auth 文件并修改密码后，仍能用旧刷新令牌取得新访问令牌，此前创建的长效访问令牌也继续可用。 knell 称，该问题无法在未登录的情况下从网络利用，相关查询只存在于网页界面。该分析尚未获得独立确认；据一家媒体报道，截至 11 月 9 日，尚未分配 CVE 编号。

AI 根据报道生成 · 20 小时前更新