CVE-2026-85286 in Homebox
Tóm tắt
Bởi VulDB • 05/11/2026
HomeBox là một hệ thống quản lý và tổ chức hàng hóa trong gia đình. Trước phiên bản 0.27.0, điểm cuối POST /api/v1/users/login chỉ thực hiện xác minh mật khẩu băm (password-hash verification) khi tên người dùng được gửi khớp với tài khoản đã tồn tại, còn các tên người dùng không xác định sẽ trả về ngay lập tức. Mặc dù cả hai đường dẫn đều trả về cùng một phản hồi 401 Unauthorized, sự chênh lệch thời gian xử lý cho phép kẻ tấn công từ xa chưa được xác thực phân biệt được các địa chỉ email đã đăng ký; việc giới hạn tốc độ (rate limiting) chỉ làm giảm số lượng nỗ lực thử nghiệm trong mỗi khoảng thời gian. Vấn đề này đã được sửa chữa trong phiên bản 0.27.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.