DUPIN Alertas · sysadminsmediahttps://alertas.dupin.com.ar/fabricante/sysadminsmedia/Alertas de vulnerabilidades de sysadminsmedia.esThu, 05 Nov 2026 17:28:09 +000010Vulnerabilidad: CVE-2026-85286 · Canal lateral de tiempo en el login de HomeBox permite enumerar usuarioshttps://alertas.dupin.com.ar/cve/CVE-2026-85286/tg:63526Thu, 05 Nov 2026 17:28:09 +0000VulnerabilidadAntes de 0.27.0, el endpoint POST /api/v1/users/login de HomeBox verifica el hash de contraseña solo cuando el usuario existe, mientras que los usuarios desconocidos responden de inmediato. Aunque ambos caminos devuelven el mismo 401, la diferencia de tiempo permite a un atacante remoto no autenticado distinguir correos registrados; el límite de intentos solo reduce la cantidad de pruebas por ventana. Corregido en 0.27.0.Vulnerabilidad: CVE-2026-116680 · SSRF en el notificador genérico de Homebox mediante redirección HTTP tras la validación de URLhttps://alertas.dupin.com.ar/cve/CVE-2026-116680/tg:61587Tue, 27 Oct 2026 19:23:43 +0000VulnerabilidadHomebox valida las URL del notificador genérico antes de crear, actualizar, probar y enviar, pero shoutrrr sigue las redirecciones sin revalidar cada destino. Un miembro autenticado de una colección puede configurar un host permitido que redirija a loopback, link-local o metadatos de nube, evadiendo la política SSRF. Corregido en la versión 0.27.0.