होमार में आमंत्रण टोकन पंजीकरण में एक रेस कंडीशन (TOCTOU)

होमार एक ओपन-सोर्स डैशबोर्ड है। 1.57.0 से पहले, उपयोगकर्ता पंजीकरण एंडपॉइंट (/api/trpc/user.register) एक रेस कंडीशन के प्रति संवेदनशील है जो एक हमलावर को एक सिंगल-यूज आमंत्रण टोकन से कई उपयोगकर्ता खाते बनाने की अनुमति देता है। पंजीकरण प्रवाह तीन क्रमिक डेटाबेस ऑपरेशन करता है बिना किसी लेनदेन के: जांच (CHECK), निर्माण (CREATE), और हटाना (DELETE)। क्योंकि ये ऑपरेशन परमाणु नहीं हैं, समवर्ती अनुरोध सभी सत्यापन चरण (1) को पार कर सकते हैं इससे पहले कि वे किसी भी हटाने चरण (3) तक पहुंच सकें। यह एक ही आमंत्रण टोकन का उपयोग करके कई खातों को पंजीकृत करने की अनुमति देता है जो सिंगल-यूज होने का इरादा था। यह भेद्यता 1.57.0 में ठीक की गई है।