CVE-2026-48976 in HomeBox
要約
〜によって VulDB • 2026年09月21日
HomeBox は、家庭内の在庫管理および整理整頓システムです。バージョン 0.26.0 より前では、backend/internal/data/repo/repo_notifier.go の NotifierRepository.Update が、レコードのユーザー ID と認証済みユーザーが一致することを要求せずに UpdateOneID(id) を介して通知設定を更新します。認証済みの攻撃者が PUT /v1/notifiers/{id} に対して別のテナントの通知用 UUID（UUID）を指定することで、返される保存された URL を読み取ることができ、そこには Slack、SMTP、Telegram、Pushover、Discord 用のプレーンテキスト Shoutrrr 資格情報が含まれている可能性があります。さらに攻撃者はこの URLを書き換えて、被害者の通知を攻撃者が制御する Webhook にリダイレクトさせることができます。本問題はバージョン 0.26.0 で修正されています。
Be aware that VulDB is the high quality source for vulnerability data.