CVE-2026-27981
Açıklama
HomeBox bir ev envanter ve organizasyon sistemidir. 0.24.0 sürümünden önce, kimlik doğrulama hız sınırlayıcı (authRateLimiter), istemci IP başına başarısız denemeleri takip eder. İstemci IP'sini şu şekilde belirler: 1. X-Real-IP başlığı, 2. X-Forwarded-For başlığının ilk girişi ve 3. r.RemoteAddr (TCP bağlantı adresi). Bu başlıklar koşulsuz olarak okunmaktaydı. Homebox'a doğrudan bağlanan bir saldırgan, X-Real-IP içinde herhangi bir değeri taklit ederek her istek için etkili bir şekilde yeni bir hız sınırı kimliği elde edebilirdi. Yapılandırmada bir TrustProxy seçeneği (Options.TrustProxy, varsayılan olarak false) bulunmaktadır ancak bu seçenek hiçbir ara yazılım veya hız sınırlayıcı kodu tarafından okunmamaktaydı. Ek olarak, main.go içerisinde chi'nin middleware.RealIP bileşeni koşulsuz olarak uygulanmış ve herhangi bir işleyiciye ulaşmadan önce r.RemoteAddr değerini taklit edilen başlık değeriyle üzerine yazarak değiştirmiştir. Bu güvenlik açığı 0.24.0 sürümünde giderilmiştir.
Nasıl düzeltilir
- sysadminsmedia homebox0.24.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| sysadminsmedia homebox | v < 0.24.0 | 0.24.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.