PT-2026-22774 · Homebox · Homebox

G3Xar · Publicado 2026-03-03 · Atualizado 2026-03-04 · CVE-2026-27600

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.0

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do HomeBox anteriores a 0.24.0-rc.1

Descrição O HomeBox é um sistema de inventário e organização residencial. A funcionalidade de notificador permite que usuários autenticados especifiquem URLs arbitrárias para as quais o aplicativo envia solicitações HTTP POST. Não há validação aplicada ao host, endereço IP ou porta fornecidos. O comportamento da interface de usuário do aplicativo difere com base no estado de rede do destino, criando um canal lateral comportamental que permite a enumeração de serviços internos. O aplicativo não retorna o corpo da resposta do serviço de destino.

Recomendações Atualize para a versão 0.24.0-rc.1 ou posterior.

Exploit

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2026-27600

GHSA-CM7P-5MG5-82PM

Produtos afetados

Homebox

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/27xxx/CVE-2026-27600.json · Exploit
• https://github.com/sysadminsmedia/homebox/security/advisories/GHSA-cm7p-5mg5-82pm · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-27600 · Nota de Segurança
• https://t.me/CVEtracker/46255 · Publicação no Telegram
• https://twitter.com/infoflowcloud/status/2028975329147027509 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2029072696911257678 · Publicação no Twitter
• https://reddit.com/r/selfhosted/comments/1rjtl6r/homebox_v0420_released · Publicação no Reddit
• https://osv.dev/vulnerability/CVE-2026-27600 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2028974436628492767 · Publicação no Twitter