CVE-2026-48976

Nome do Software Vulnerável e Versões Afetadas HomeBox versões anteriores a 0.26.0

Description Um usuário autenticado pode atualizar um notificador pertencente a outro locatário fornecendo o UUID do notificador alvo ao endpoint 'PUT /v1/notifiers/{id}'. Isso ocorre porque a função NotifierRepository.Update em backend/internal/data/repo/repo notifier.go chama UpdateOneID(id) sem verificar se o ID do usuário do registro corresponde ao usuário autenticado. Um invasor pode explorar isso para ler a URL armazenada retornada, que pode conter credenciais Shoutrrr em texto simples para serviços como Slack, SMTP, Telegram, Pushover ou Discord, e pode modificar a URL para redirecionar as notificações para um webhook controlado pelo invasor.

Recommendations Atualize o HomeBox para a versão 0.26.0.