CVE-2026-85286 in Homebox
Zusammenfassung
von VulDB • 05.11.2026
HomeBox ist ein System zur Inventarisierung und Organisation von Haushaltsgegenständen. Vor Version 0.27.0 führt der Endpunkt POST /api/v1/users/login die Passwort-Hash-Verifizierung nur dann durch, wenn das übermittelte Benutzername mit einem bestehenden Konto übereinstimmt; unbekannte Benutzernamen werden sofort abgewiesen. Obwohl beide Pfade dieselbe 401 Unauthorized-Antwort zurückgeben, ermöglicht die Diskrepanz in der Verarbeitungszeit einem nicht authentifizierten Remote-Angriff, registrierte E-Mail-Adressen zu unterscheiden; Rate Limiting reduziert lediglich die Anzahl der Versuche pro Zeitfenster. Dieses Problem wurde in Version 0.27.0 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.