JVNDB-2026-010743

Homarrにおける複数の脆弱性

Homarrはオープンソースのダッシュボードです。バージョン1.57.0以前のHomarrの/auth/loginページには、DOMベースのクロスサイトスクリプティング（XSS）脆弱性が存在していました。アプリケーションはURLパラメーター（callbackUrl）を不適切に信頼し、それをリダイレクトおよびrouter.pushに渡していました。攻撃者は悪意のあるリンクを作成でき、認証済みユーザーがそのリンクを開くとクライアントサイドリダイレクトが実行され、ブラウザのコンテキスト内で任意のJavaScriptが実行されます。これにより、認証情報の盗難、内部ネットワークへの侵入、および被害者を代表した不正な操作が発生する可能性があります。この脆弱性はバージョン1.57.0で修正されています。

Homarr

• Homarr 1.57.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアの一部が停止する可能性があります。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : DOM-Based XSS in Homarr /auth/login Redirect  Advisory  homarr-labs/homarr  GitHub

1. オープンリダイレクト(CWE-601) [その他]
2. 代替 XSS 構文の不適切な無効化(CWE-87) [その他]

1. CVE-2026-33510

1. National Vulnerability Database (NVD) : CVE-2026-33510

• [2026年04月13日]
    掲載