CVE-2026-32602 describes a Race Condition vulnerability found in Homarr, an open-source dashboard. This flaw affects versions 0.0.0 through 1.56.9, allowing attackers to create multiple user accounts using a single-use invite token due to a lack of transactional integrity in the registration process. The vulnerability stems from sequential database operations that are not atomic, allowing concurrent requests to bypass validation. A patch is available in version 1.57.0.
CVE-2026-32602 影响开源服务器仪表盘 Homarr，特别是其用户注册端点 (/api/trpc/user.register)。该漏洞源于版本 1.57.0 之前的注册流程中的竞赛条件。注册过程涉及三个顺序的数据库操作（CHECK、CREATE 和 DELETE），这些操作未受到事务保护。这使得多个并发请求能够在邀请令牌删除完成之前通过验证阶段，从而可以使用单个邀请令牌创建多个用户帐户。此漏洞的严重程度取决于 Homarr 的使用环境和受管用户数据的敏感性。攻击者可能滥用此漏洞创建虚假帐户，用于诸如垃圾邮件、拒绝服务攻击或在创建的帐户获得提升权限时访问敏感信息等恶意目的。
利用 CVE-2026-32602 需要访问 Homarr 的用户注册端点。攻击者可以使用单个邀请令牌自动发送注册请求的过程。当多个请求几乎同时到达服务器时，竞赛条件会发生。服务器验证令牌，创建帐户，并在令牌删除完成之前，另一个请求验证相同的令牌并创建另一个帐户。利用难度取决于服务器负载和网络延迟。服务器负载高且网络缓慢会增加竞赛条件发生的可能性。成功的利用需要对 Homarr 架构有基本的理解以及发送并发 HTTP 请求的能力。
漏洞利用状态
EPSS
0.03% (8% 百分位)
CISA SSVC
CVSS 向量
解决 CVE-2026-32602 的方法是将 Homarr 更新到 1.57.0 或更高版本。此版本通过实现原子事务来修复竞赛条件，该事务确保验证、创建和删除操作作为不可分割的单元执行。这可以防止并发请求绕过邀请令牌验证。除了更新之外，还建议审查 Homarr 的安全策略，包括用户管理和输入验证。为了降低风险，及时应用安全补丁至关重要。如果无法立即更新，则可以实施临时措施，例如限制注册请求的频率或实施额外的验证系统以检测可疑活动。
Actualice a la versión 1.57.0 o superior para mitigar la vulnerabilidad de condición de carrera en el registro de usuarios. Esta actualización corrige el problema al asegurar que las operaciones de base de datos CHECK, CREATE y DELETE se realicen de forma atómica, evitando que múltiples cuentas se registren con un solo token de invitación.
漏洞分析和关键警报直接发送到您的邮箱。
当程序的输出取决于多个线程或进程执行的顺序时，就会发生竞赛条件。
原子事务是一系列操作，这些操作作为不可分割的单元执行。如果任何操作失败，则整个事务将回滚。
实施临时措施，例如限制注册请求的频率或添加额外的验证。
检查您的用户帐户，查找使用单个邀请令牌创建的未经授权的帐户。
更新到版本 1.57.0 减轻了此特定漏洞。但是，重要的是保持 Homarr 与最新的安全补丁同步，以防止其他潜在的漏洞。