CVE-2026-62253
KrytyczneCVSS 9.8Streszczenie
Homer, oprogramowanie do obserwowalności telekomunikacyjnej, przed wersją 11.0.283 ma podatność polegającą na tym, że funkcje middleware JWT (`JWTMiddleware` i `JWTMiddlewareV4`) natychmiast zwracają `next(c)`, gdy `jwtSecret` jest pusty. Domyślnie sekret JWT jest pusty, co powoduje, że wszystkie chronione endpointy API są całkowicie nieuwierzytelnione.
Ocena ryzyka
Atakujący może uzyskać nieautoryzowany dostęp do wrażliwych danych telekomunikacyjnych i funkcji API, co może prowadzić do naruszenia poufności i integralności systemu.
Rekomendacja
Zaktualizuj Homer do wersji 11.0.283 lub nowszej, która zawiera poprawkę.
Inne podatności w Homer
Zobacz wszystkie- CVE-2026-62251Wysokie
Homer, oprogramowanie do obserwowalności telekomunikacyjnej, przed wersją 11.0.283 jest podatne na wstrzykiwanie SQL w handlerze V4StatisticsQuery. Pole rawquery od użytkownika jest przekazywane bezpośrednio do DuckDB bez walidacji funkcją sqlvalidator.ValidateRawSQL, co pozwala uwierzytelnionemu użytkownikowi na wykonanie dowolnych zapytań SQL do danych dostępnych przez usługę FlightSQL.
- CVE-2026-62252Krytyczne
Homer przed wersją 11.0.283, przy każdym świeżym wdrożeniu z wewnętrznym uwierzytelnianiem, automatycznie tworzy konto `admin` z hasłem `sipcapture` (przechowywanym jako legacy SHA-256 hash). Nie ma mechanizmu wymuszającego zmianę hasła przy pierwszym logowaniu, co pozwala każdemu atakującemu na pełny dostęp administracyjny.
Oryginalny opis (angielski, źródło NVD)
Homer is open source telecom observability software. Prior to version 11.0.283, both JWT middleware functions (`JWTMiddleware` and `JWTMiddlewareV4`) immediately return `next(c)` when `jwtSecret == ""`. The JWT secret defaults to an empty string. On a default installation, all protected API endpoints under `/api/v1`, `/api/v3`, and `/api/v4` are completely unauthenticated. Version 11.0.283 patches the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS