CVE-2026-85286 Canal lateral de tiempo en el login de HomeBox permite enumerar usuarios
Antes de 0.27.0, el endpoint POST /api/v1/users/login de HomeBox verifica el hash de contraseña solo cuando el usuario existe, mientras que los usuarios desconocidos responden de inmediato. Aunque ambos caminos devuelven el mismo 401, la diferencia de tiempo permite a un atacante remoto no autenticado distinguir correos registrados; el límite de intentos solo reduce la cantidad de pruebas por ventana. Corregido en 0.27.0.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 21
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
sysadminsmedia homebox
< 0.27.0
Qué hacer
- Verificá si usás homebox y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 3.7 BAJA
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N
- Vector de ataqueRed
- Complejidad del ataqueAlta
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadBaja
- IntegridadNinguna
- DisponibilidadNinguna
Descripción original
HomeBox is a home inventory and organization system. Prior to 0.27.0, the POST /api/v1/users/login endpoint performs password-hash verification only when the submitted username matches an existing account, while unknown usernames return immediately. Although both paths return the same 401 unauthorized response, the processing-time discrepancy allows an unauthenticated remote attacker to distinguish registered email addresses; rate limiting only reduces the number of attempts per window. This issue is fixed in version 0.27.0.
Referencias (3)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.