CVE-2026-55473
Açıklama
HomeBox bir ev envanteri ve organizasyon sistemidir. 0.26.0 sürümünden önce, backend/internal/sys/validate/notifier_url.go dosyasındaki varsayılan olarak açık olan BlockBogonNets ve BlockCloudMetadata bildirimci SSRF korumaları, 64:ff9b::/96 ve 64:ff9b:1::/48 NAT64 öneklerine gömülmüş IPv4 hedeflerini denetlememektedir. Kimliği doğrulanmış bir kullanıcı, POST /v1/notifiers veya POST /v1/notifiers/test üzerinden generic:// bildirimcisi gönderebilir ve NAT64/DNS64 aracılığıyla dışa çıkış yapan bir Homebox örneğinde ağ geçidi, kabul edilen bir IPv6 hedefini bulut meta verilerine, localhost'a veya başka bir dahili IPv4 ana bilgisayarına çevirebilir. Bildirimci test yolu teslimat sonucu bilgilerini döndürür ve Shoutrrr yanıtı ileterek geçici kimlik bilgileri gibi alınan meta verilerini ifşa edebilecek geri bildirimler sağlar. NAT64 dışa çıkışı olmadan, oluşturulan IPv6 hedefi yönlendirilemez ancak koruma mekanizması bunu yine de hatalı bir şekilde güvenli olarak sınıflandırır. Bu sorun 0.26.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| sysadminsmedia homebox | < 0.26.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.