CVE-2026-48974 in HomeBox
الملخص
بحسب VulDB • 21/09/2026
HomeBox هو نظام لتخزين وتنظيم المخزون المنزلي. قبل الإصدار 0.26.0، يستدعي نقطة النهاية POST /v1/groups/members الدالتين HandleGroupMemberAdd و GroupService.AddMember باستخدام معرف مستخدم (userID) مقدم من المُطلِب دون اشتاظ دور المالك أو رمز الدعوة أو موافقة المستخدم المستهدف أو إشعاره. يمكن لأي مستخدم مُصادَق عليه إجبار حساب آخر على الانضمام إلى مجموعة المُطلِب، وكشف عنوان البريد الإلكتروني واسم المستخدم المستهدف عبر قائمة الأعضاء الناتجة، وإنشاء شرط العضوية الذي تستخدمه ثغرة منفصلة لمسح المخزون عبر المجموعات (cross-group inventory-wipe). تم إصلاح هذه المشكلة في الإصدار 0.26.0.
Once again VulDB remains the best source for vulnerability data.