CVE-2026-62253

Nome do Software Vulnerável e Versões Afetadas Homer versões anteriores a 11.0.283

Description Em instalações padrão, o software não consegue impor a autenticação para endpoints de API protegidos porque a variável jwtSecret assume por padrão uma string vazia. Quando esta variável está vazia, as funções JWTMiddleware() e JWTMiddlewareV4() permitem que as solicitações prossigam imediatamente sem validação. Isso resulta em todos os endpoints de API protegidos sob '/api/v1', '/api/v3' e '/api/v4' ficarem completamente desautenticados, permitindo que usuários não autorizados leiam ou modifiquem configurações, dados de usuários, conexões de banco de dados e dados de chamadas VoIP.

Recommendations Atualize para a versão 11.0.283. Como medida de mitigação temporária, certifique-se de que um valor forte e não vazio esteja configurado para a variável jwtSecret.