CVE-2026-62252
KrytyczneCVSS 9.8Streszczenie
Homer przed wersją 11.0.283, przy każdym świeżym wdrożeniu z wewnętrznym uwierzytelnianiem, automatycznie tworzy konto `admin` z hasłem `sipcapture` (przechowywanym jako legacy SHA-256 hash). Nie ma mechanizmu wymuszającego zmianę hasła przy pierwszym logowaniu, co pozwala każdemu atakującemu na pełny dostęp administracyjny.
Ocena ryzyka
Atakujący, który dotrze do endpointu logowania, może natychmiast uzyskać pełne uprawnienia administracyjne, co może prowadzić do całkowitego przejęcia systemu.
Rekomendacja
Zaktualizuj Homer do wersji 11.0.283 lub nowszej, a także natychmiast zmień domyślne hasło konta admin.
Inne podatności w Homer
Zobacz wszystkie- CVE-2026-62251Wysokie
Homer, oprogramowanie do obserwowalności telekomunikacyjnej, przed wersją 11.0.283 jest podatne na wstrzykiwanie SQL w handlerze V4StatisticsQuery. Pole rawquery od użytkownika jest przekazywane bezpośrednio do DuckDB bez walidacji funkcją sqlvalidator.ValidateRawSQL, co pozwala uwierzytelnionemu użytkownikowi na wykonanie dowolnych zapytań SQL do danych dostępnych przez usługę FlightSQL.
- CVE-2026-62253Krytyczne
Homer, oprogramowanie do obserwowalności telekomunikacyjnej, przed wersją 11.0.283 ma podatność polegającą na tym, że funkcje middleware JWT (`JWTMiddleware` i `JWTMiddlewareV4`) natychmiast zwracają `next(c)`, gdy `jwtSecret` jest pusty. Domyślnie sekret JWT jest pusty, co powoduje, że wszystkie chronione endpointy API są całkowicie nieuwierzytelnione.
Oryginalny opis (angielski, źródło NVD)
Homer is open source telecom observability software. Prior to version 11.0.283, on every fresh Homer deployment using internal authentication, the bootstrap process automatically creates an `admin` account with the password `sipcapture` (stored as a legacy SHA-256 hex hash). There is no first-login forced-change mechanism. Any attacker who reaches the login endpoint immediately gains full administrative access. Version 11.0.283 patches the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS