CVE-2026-85286 in Homebox
Résumé
par VulDB • 05/11/2026
HomeBox est un système d'inventaire et d'organisation domestique. Avant la version 0.27.0, le point de terminaison POST /api/v1/users/login effectue une vérification du hachage du mot de passe uniquement lorsque le nom d'utilisateur soumis correspond à un compte existant, tandis que les noms d'inconnus sont rejetés immédiatement. Bien que ces deux chemins retournent la même réponse 401 Non autorisé (Unauthorized), l'écart dans le temps de traitement permet à un attaquant distant non authentifié de distinguer les adresses e-mail enregistrées ; une limitation du débit ne fait qu'réduire le nombre d'essais par fenêtre. Ce problème est corrigé dans la version 0.27.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.