Kwetsbaarheid in Home Assistant Companion-apps maakt tokendiefstal mogelijk (heise.de)

• CVE-2026-44698, CVSS 8.3, hoge ernst
• Token-diefstal via cross-origin iframe en WebView-bridge-injectie
• Patches: Android 2026.4.4, iOS 2026.4.1

"De Companion-apps voor Android en iOS van Home Assistant hebben een kwetsbaarheid (CVE-2026-44698, CVSS 8.3) die aanvallers in staat stelt om toegangstokens te stelen via een kwaadaardige iframe en de instantie over te nemen. Patches beschikbaar: Android 2026.4.4, iOS 2026.4.1. Het advies is om webpagina-kaarten van derden uit dashboards te verwijderen."