Homarr /auth/login リダイレクトにおける DOM ベースの XSS

CVE-2026-33510 は、1.57.0 以前のバージョンのオープンソースダッシュボード Homarr に影響を与えます。/auth/login ページで DOM ベースのクロスサイトスクリプティング (XSS) の脆弱性が発見されました。アプリケーションは、redirect と router.push に渡される URL パラメータ (callbackUrl) を不適切に信頼しています。攻撃者は、認証されたユーザーが開くとクライアント側のリダイレクトを実行し、ブラウザのコンテキストで任意の JavaScript コードを実行する悪意のあるリンクを作成できます。これにより、認証情報の窃盗、内部ネットワークへのアクセス、またはユーザーインターフェースの操作につながる可能性があります。

Organizations and individuals using Homarr versions 0.0.0 through 1.57.0 are at risk. This includes those deploying Homarr in production environments, development environments, or testing environments. Shared hosting environments where Homarr is installed are particularly vulnerable, as a compromised account on one site could potentially impact other sites on the same server.

• javascript / web: Inspect browser developer console for unexpected JavaScript execution upon accessing /auth/login. • generic web: Use curl/wget to test the /auth/login endpoint with a malicious callbackUrl parameter (e.g., curl 'http://your-homarr-instance/auth/login?callbackUrl=<script>alert(1)</script>'). • generic web: Examine access/error logs for suspicious requests to /auth/login with unusual URL parameters.

1. 2026-04-06Disclosure

   disclosure

1. 予約済み2026-03-20
2. 公開日2026-04-06
3. EPSS 更新日2026-04-14

この脆弱性の解決策は、Homarr をバージョン 1.57.0 以降にアップデートすることです。このバージョンは、リダイレクトおよびルーティング関数で使用する前に、callbackUrl パラメータを適切に検証およびサニタイズすることで問題を修正します。Homarr のユーザーは、悪用のリスクを軽減するために、できるだけ早くこのアップデートを適用することを強くお勧めします。さらに、サーバーログを不審なアクティビティについて確認し、Content Security Policy (CSP) などの Web セキュリティポリシーを実装することを検討して、XSS 攻撃の潜在的な影響を軽減することをお勧めします。