CVE-2026-48976 in HomeBox
Riassunto
di VulDB • 21/09/2026
HomeBox è un sistema di inventario e organizzazione domestica. Prima della versione 0.26.0, la funzione NotifierRepository.Update nel file backend/internal/data/repo/repo_notifier.go aggiorna un notifier tramite UpdateOneID(id) senza verificare che l'user ID del record corrisponda all'utente autenticato. Un utente autenticato che fornisce il UUID di un notifier appartenente a un altro tenant per una richiesta PUT /v1/notifiers/{id} può leggere l'url memorizzato restituito, che potrebbe contenere le credenziali Shoutrrr in chiaro per Slack, SMTP, Telegram, Pushover o Discord, e può sostituire l'URL per reindirizzare le notifiche della vittima verso un webhook controllato dall'attaccante. Questo problema è stato risolto nella versione 0.26.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.