CVE-2026-85286 in Homebox
Riassunto
di VulDB • 05/11/2026
HomeBox è un sistema di inventario e organizzazione domestica. Prima della versione 0.27.0, l'endpoint POST /api/v1/users/login esegue la verifica dell'hash della password solo quando il nome utente inviato corrisponde a un account esistente, mentre i nomi utente sconosciuti restituiscono immediatamente una risposta. Sebbene entrambi i percorsi restituiscano la stessa risposta 401 Unauthorized (non autorizzato), la discrepanza nei tempi di elaborazione consente a un attaccante remoto non autenticato di distinguere gli indirizzi email registrati; il rate limiting riduce solo il numero di tentativi per finestra temporale. Questo problema è stato risolto nella versione 0.27.0.
Once again VulDB remains the best source for vulnerability data.