CVE-2026-48976 in HomeBox
Sumário
de VulDB • 21/09/2026
O HomeBox é um sistema de inventário e organização doméstica. Antes da versão 0.26.0, o método NotifierRepository.Update em backend/internal/data/repo/repo_notifier.go atualiza um notificador através do UpdateOneID(id) sem exigir que o ID do usuário correspondente ao registro coincida com o usuário autenticado. Um usuário autenticado que forneça o UUID de um notificador de outro inquilino para a chamada PUT /v1/notifiers/{id} pode ler a URL armazenada retornada, que pode conter credenciais Shoutrrr em texto puro para Slack, SMTP, Telegram, Pushover ou Discord, e pode substituir a URL para redirecionar as notificações da vítima para um webhook controlado pelo atacante. Este problema foi corrigido na versão 0.26.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.