Home Assistantではパスワードを変えても侵入者が締め出されない

Home Assistant: the password is not the key – token secrets in cleartext

Home Assistantのトークン管理に深刻な欠陥が報告された。2026.11.0で検証したところ、全ユーザーのリフレッシュトークンの秘密とJWT署名鍵がconfig/.storage/authに平文で保存され、ハッシュ化すらされていない。長期トークンとシステムトークンは無期限で、パスワード変更はどのトークンも失効させない。設定ディレクトリやバックアップが一度読まれるだけで、パスワード変更に耐える永続的なアクセス権が生まれる。