CVE-2024-42364

Homepage, Docker ve servis API entegrasyonlarına sahip yüksek düzeyde özelleştirilebilir bir ana sayfadır. Homepage 0.9.1'in varsayılan kurulumu DNS rebinding saldırısına karşı savunmasızdır. Homepage varsayılan olarak sertifika ve kimlik doğrulama olmadan kurulur, bu da onu DNS rebinding saldırılarına açık hale getirir. Bu saldırıda, bir saldırgan kullanıcının kendi web sitesini ziyaret etmesini ister. Saldırganın web sitesi daha sonra alan adının DNS kayıtlarını kendi IP adresinden homepage örneğinin dahili IP adresine değiştirir. Hangi IP adreslerinin geçerli olduğunu belirlemek için kontrol etmek istediğimiz her IP adresine bir alt alan adı yeniden bağlayabilir ve yanıt gelip gelmediğine bakabiliriz. Potansiyel adaylar bulunduğunda, saldırgan IP adresi değiştikten sonra web sunucusunun yanıtını okuyarak saldırıyı başlatabilir. Saldırgan alanı çağrıldığında, IP adresi değiştiği için yanıt saldırgan web sitesinden değil, homepage örneğinden gelecektir. Kimlik doğrulamanın eksikliği nedeniyle, API anahtarları (ilk rapor sonrası düzeltildi) ve diğer özel bilgiler gibi kullanıcıya ait gizli bilgiler saldırgan web sitesi tarafından çekilebilir.