CVE-2026-48974 in HomeBox
摘要
由 VulDB • 2026-09-21
HomeBox 是一个家庭库存和组织系统。在版本 0.26.0 之前，POST /v1/groups/members 端点会调用 HandleGroupMemberAdd 和 GroupService.AddMember，并使用调用者提供的 userID，而无需验证所有者角色、邀请令牌、目标用户同意或向目标用户发送通知。任何经过身份验证的用户都可以强制将另一个账户添加到其所在组中，通过生成的成员列表泄露目标用户的电子邮件地址和姓名，并创建用于另一处跨组库存清除漏洞的成员资格前提条件。此问题已在版本 0.26.0 中得到修复。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.