CVE-2026-48976 in HomeBox
Résumé
par VulDB • 21/09/2026
HomeBox est un système d'inventaire et d'organisation domestique. Avant la version 0.26.0, `NotifierRepository.Update` dans `backend/internal/data/repo/repo_notifier.go` met à jour un notifieur via `UpdateOneID(id)` sans vérifier que l'identifiant utilisateur du record correspond à celui de l'utilisateur authentifié. Un utilisateur authentiqué qui fournit l'UUID d'un notifieur appartenant à un autre locataire pour une requête PUT sur `/v1/notifiers/{id}` peut lire l'URL stockée retournée, laquelle peut contenir des identifiants Shoutrrr en clair (pour Slack, SMTP, Telegram, Pushover ou Discord), et peut remplacer cette URL afin de rediriger les notifications de la victime vers un webhook contrôlé par l'attaquant. Ce problème est corrigé dans la version 0.26.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.