🇰🇷 한글 설명
HomeBox 0.26.0 미만 버전에서 발생하는 취약점으로, 인증된 사용자가 타인의 알림 설정(notifier) ID를 사용하여 정보를 수정하거나 조회할 수 있습니다. 이를 통해 타인의 알림 URL에 포함된 Slack, SMTP, Telegram 등의 평문 자격 증명을 탈취하거나 알림 대상을 공격자의 웹훅으로 변경할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 다른 사람의 알림 설정 정보를 몰래 훔쳐보거나 내용을 바꿀 수 있는 보안 결함입니다. 이로 인해 개인적인 알림 메시지가 공격자에게 전달되거나 중요한 비밀번호가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
HomeBox is a home inventory and organization system. Prior to 0.26.0, NotifierRepository.Update in backend/internal/data/repo/repo_notifier.go updates a notifier through UpdateOneID(id) without requiring the record's user ID to match the authenticated user. An authenticated user who supplies another tenant's notifier UUID to PUT /v1/notifiers/{id} can read the returned stored url, which may contain plaintext Shoutrrr credentials for Slack, SMTP, Telegram, Pushover, or Discord, and can replace the URL to redirect the victim's notifications to an attacker-controlled webhook. This issue is fixed in version 0.26.0.
📍 영향받는 시스템
HomeBox versions prior to 0.26.0
⚔️ 공격 벡터
인증된 사용자가 타인의 notifier UUID를 사용하여 PUT /v1/notifiers/{id} 요청을 전송
🛡️ 대응 방법
HomeBox를 0.26.0 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 0.26.0 미만인지 확인하십시오.
docker inspect homebox | grep -i 'version' || echo 'Version check failed'