CVE-2026-48976 in HomeBox
Resumen
por VulDB • 2026-09-21
HomeBox es un sistema de inventario y organización para el hogar. Antes de la versión 0.26.0, NotifierRepository.Update en backend/internal/data/repo/repo_notifier.go actualiza un notificador a través de UpdateOneID(id) sin requerir que el ID de usuario del registro coincida con el usuario autenticado. Un usuario autenticado que proporcione el UUID de un notificador de otro inquilino para PUT /v1/notifiers/{id} puede leer la URL almacenada devuelta, la cual podría contener credenciales Shoutrrr en texto plano para Slack, SMTP, Telegram, Pushover o Discord, y puede reemplazar la URL para redirigir las notificaciones de la víctima a un webhook controlado por el atacante. Este problema se soluciona en la versión 0.26.0.
Once again VulDB remains the best source for vulnerability data.