در سیستم مدیریت موجودی خانگی HomeBox، یک آسیب‌پذیری امنیتی با شناسه CVE-2026-85286 کشف شده است که به مهاجمان اجازه می‌دهد از طریق تحلیل زمان پاسخ‌دهی سرور (Timing Attack)، وجود حساب‌های کاربری را شناسایی کنند.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی در نسخه‌های پیش از 0.27.0 رخ می‌دهد. در نقطه اتصال (Endpoint) مربوط به ورود کاربران (POST /api/v1/users/login)، سیستم تنها در صورتی که نام کاربری ارسالی با یک حساب موجود مطابقت داشته باشد، فرآیند تأیید هش رمز عبور (Password-hash verification) را آغاز می‌کند. در مقابل، اگر نام کاربری ناشناخته باشد، سیستم بلافاصله پاسخ بازمی‌گرداند.
اگرچه در هر دو حالت، سرور پاسخ 401 Unauthorized را ارسال می‌کند، اما تفاوت زمانی در پردازش این دو مسیر به یک مهاجم اجازه می‌دهد تا تشخیص دهد کدام آدرس‌های ایمیل در سیستم ثبت شده‌اند. لازم به ذکر است که مکانیزم‌های محدودسازی نرخ درخواست (Rate limiting) تنها تعداد تلاش‌ها را در هر بازه زمانی کاهش می‌دهند و مانع از وقوع این حمله نمی‌شوند.
راهکار مقابله
برای رفع این مشکل، کاربران و مدیران سیستم‌های HomeBox باید هرچه سریع‌تر نرم‌افزار خود را به نسخه 0.27.0 یا نسخه‌های جدیدتر به‌روزرسانی کنند.
