CVE-2026-25123 in homarr
요약
\~에 의해 VulDB • 2026. 06. 23.
Homarr는 오픈소스 대시보드입니다. 버전 1.52.0 이전에는 공개(비인증) tRPC 엔드포인트인 widget.app.ping가 임의의 URL을 허용하고 해당 URL로 서버 측 요청을 수행합니다. 이를 통해 비인증 공격자가 Homarr 서버에서 외부 HTTP 요청을 트리거할 수 있으며, SSRF(Server-Side Request Forgery) 동작과 신뢰성 있는 포트 스캐닝 기본 기능(상태 코드 vs 페치 실패 및 시간 지연을 통해 열린 포트와 닫힌 포트를 추론 가능)이 가능합니다. 이 취약점은 1.52.0에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.