CVE-2026-48974

Nome do Software Vulnerável e Versões Afetadas HomeBox versões anteriores a 0.26.0

Descrição Um usuário autenticado pode adicionar qualquer outra conta a um grupo sem a necessidade de uma função de proprietário, um token de convite, consentimento do usuário alvo ou notificação. Isso ocorre porque o endpoint '/v1/groups/members' invoca as funções HandleGroupMemberAdd() e GroupService.AddMember() usando um userID fornecido pelo chamador sem as verificações de autorização adequadas. Essa falha permite que um invasor force usuários a entrar em um grupo, exponha o nome e o endereço de e-mail do usuário alvo por meio da lista de membros e estabeleça um pré-requisito de associação para outros ataques.

Recomendações Atualize para a versão 0.26.0.