Vulnerabilidad en apps companion de Home Assistant permite robo de tokens (heise.de)

• CVE-2026-44698 con CVSS 8.3, gravedad alta
• Robo de token mediante iframe entre orígenes e inyección de puente WebView
• Parches: Android 2026.4.4, iOS 2026.4.1

"Las apps companion de Home Assistant para Android e iOS tienen una vulnerabilidad (CVE-2026-44698, CVSS 8.3) que permite a atacantes robar tokens de acceso a través de un iframe malicioso y tomar el control de la instancia. Parches disponibles: Android 2026.4.4, iOS 2026.4.1. Se recomienda eliminar tarjetas de páginas web de terceros de los paneles."