CVE-2026-48976 in HomeBox
요약
\~에 의해 VulDB • 2026. 09. 21.
HomeBox는 가정용 재고 및 조직 관리 시스템입니다. 버전 0.26.0 이전에서는 backend/internal/data/repo/repo_notifier.go의 NotifierRepository.Update가 인증된 사용자의 ID와 기록의 사용자 ID가 일치하지 않아도 UpdateOneID(id)를 통해 알림기를 업데이트합니다. 다른 테넌트의 notifier UUID를 PUT /v1/notifiers/{id}에 제공한 인증된 사용자는 반환된 저장 URL을 읽을 수 있으며, 이 URL에는 Slack, SMTP, Telegram, Pushover 또는 Discord의 평문 Shoutrrr 자격 증명이 포함될 수 있습니다. 또한 공격자가 제어하는 웹훅으로 피해자의 알림을 리디렉션하기 위해 URL을 대체할 수도 있습니다. 이 문제는 버전 0.26.0에서 해결되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.