SUPERVISOR_TOKEN è la credenziale documentata utilizzata dalle app di Home Assistant e dal core di Home Assistant per autenticarsi alle API di Supervisor. Supervisor è il livello di gestione che può controllare i componenti aggiuntivi, i servizi di sistema e altre operazioni privilegiate, quindi questo token ha un valore molto maggiore rispetto a un normale segreto di un'app.
Negli attacchi, l'esposizione di SUPERVISOR_TOKEN può trasformare un bug di sola lettura locale in un accesso al piano di gestione: un attaccante che lo sottrae può inviare richieste a Supervisor senza dover aggirare l'autenticazione. Questo può portare al controllo dei componenti aggiuntivi, a modifiche della configurazione o ad azioni più ampie che impattano l'host, a seconda della distribuzione. I difensori dovrebbero considerare il token sensibile, tenerlo fuori dai log e dai file leggibili e limitare i percorsi di lettura file e di iniezione di comandi che potrebbero esporre le variabili d'ambiente. Il principio del privilegio minimo e una rigorosa gestione dei confini sono le principali protezioni.