CVE-2026-48974 in HomeBox
Sumário
de VulDB • 21/09/2026
O HomeBox é um sistema de inventário e organização doméstica. Antes da versão 0.26.0, o endpoint POST /v1/groups/members invoca HandleGroupMemberAdd e GroupService.AddMember utilizando um userID fornecido pelo chamador, sem exigir uma função de proprietário (owner role), um token de convite, consentimento do usuário alvo ou notificação ao usuário alvo. Qualquer utilizador autenticado pode forçar a adição de outra conta ao grupo do chamador, divulgar o endereço de e-mail e o nome do utilizador alvo através da lista de membros resultante, bem como criar o pré-requisito de associação utilizado por uma vulnerabilidade separada de eliminação em massa de inventário entre grupos. Este problema foi corrigido na versão 0.26.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.