CVE-2026-48976 in HomeBox
الملخص
بحسب VulDB • 21/09/2026
HomeBox هو نظام لتخزين وتنظيم المخزون المنزلي. قبل الإصدار 0.26.0، تقوم الدالة `NotifierRepository.Update` في الملف `backend/internal/data/repo/repo_notifier.go` بتحديث مُبلِّغ عبر استدعاء `UpdateOneID(id)` دون التحقق من تطابق معرف المستخدم المسجل مع المُبلِّغ المعني. يمكن لمستخدم موثّق (authenticated) مزوّد بمعرف UUID خاص بمُبلِّغ لعميل آخر إرسال طلب PUT إلى `/v1/notifiers/{id}`، مما يتيح له قراءة عنوان URL المخزن والمُعاد في الاستجابة، والذي قد يحتوي على بيانات اعتماد Shoutrrr بصيغة نصية واضحة (plaintext) لخوادم Slack أو SMTP أو Telegram أو Pushover أو Discord. كما يمكنه استبدال هذا العنوان لإعادة توجيه إشعارات الضحية إلى نقطة نهاية ويب (webhook) يتحكم فيها المهاجم. تم إصلاح هذه المشكلة في الإصدار 0.26.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.