CVE-2026-116680

Nome do Software Vulnerável e Versões Afetadas HomeBox versões anteriores a 0.27.0

Descrição O HomeBox não revalida os alvos de redirecionamento ao enviar solicitações via biblioteca shoutrrr, pois utiliza http.DefaultClient.Do sem uma política CheckRedirect. Um membro da coleção autenticado pode configurar um host de notificação permitido que redireciona para loopback, link-local, metadados de nuvem ou outros destinos bloqueados, ignorando a política de Server-Side Request Forgery (SSRF). SSRF é uma falha onde um invasor força um servidor a fazer solicitações para um local não pretendido. Este problema é acessível através do endpoint 'POST /api/v1/notifiers/test' para solicitações imediatas e através de notificadores armazenados durante a entrega de manutenção agendada. A falha envolve a função ValidateNotifierURL.

Recomendações Atualize o HomeBox para a versão 0.27.0.