CVE-2026-55473

Nome do Software Vulnerável e Versões Afetadas HomeBox versões anteriores a 0.26.0

Descrição Um usuário autenticado pode desencadear um Server-Side Request Forgery (SSRF) ao enviar um notificador generic://. As proteções de SSRF BlockBogonNets e BlockCloudMetadata no arquivo backend/internal/sys/validate/notifier url.go não inspecionam destinos IPv4 incorporados nos prefixos NAT64 64:ff9b::/96 e 64:ff9b:1::/48. Em instâncias que utilizam saída NAT64/DNS64, o gateway pode traduzir esses destinos IPv6 para localhost, metadados de nuvem ou outros hosts IPv4 internos. Isso pode ser explorado através dos endpoints 'POST /v1/notifiers' ou 'POST /v1/notifiers/test'. Este último retorna informações de resultado de entrega via Shoutrrr, o que pode expor informações sensíveis, como credenciais temporárias.

Recomendações Atualize o HomeBox para a versão 0.26.0.