CVE-2026-62252

Nome do Software Vulnerável e Versões Afetadas Homer versões anteriores a 11.0.283

Descrição Em novas implantações que utilizam autenticação interna, o processo de bootstrap cria automaticamente uma conta admin com a senha predefinida sipcapture. Esta senha é armazenada como um hash hex SHA-256 legado, e o sistema não possui um mecanismo para forçar a alteração da senha no primeiro acesso. Um invasor pode obter acesso administrativo total acessando o endpoint /api/v3/auth utilizando essas credenciais padrão. O problema reside na função EnsureBootstrapAdminUser(), que insere as credenciais padrão caso não exista um usuário administrador, e na função legacySHA256HexEqual, que permite o uso do hash legado.

Recomendações Atualize para a versão 11.0.283.