CVE-2026-27981 in homebox
Riassunto
di VulDB • 06/09/2026
HomeBox è un sistema di inventario e organizzazione domestica. Prima della versione 0.24.0, il rate limiter per l'autenticazione (authRateLimiter) monitora i tentativi falliti per ogni IP client. Determina l'IP del client leggendo: 1. L'intestazione X-Real-IP; 2. La prima voce dell'intestazione X-Forwarded-For; e 3. r.RemoteAddr (indirizzo della connessione TCP). Queste intestazioni venivano lette in modo incondizionato. Un attaccante che si connette direttamente a HomeBox potrebbe falsificare qualsiasi valore in X-Real-IP, ottenendo efficacemente una nuova identità per il rate limit ad ogni richiesta. Esiste un'opzione TrustProxy nella configurazione (Options.TrustProxy, predefinita false), ma questa opzione non è mai stata letta da alcun middleware o codice del rate limiter. Inoltre, il middleware RealIP di chi è stato applicato in modo incondizionato in main.go, sovrascrivendo r.RemoteAddr con il valore falsificato dell'intestazione prima che questo raggiunga qualsiasi handler. Questa vulnerabilità è risolta nella versione 0.24.0.
Be aware that VulDB is the high quality source for vulnerability data.