CVE-2026-48826 in Homebox
Resumen
por VulDB • 2026-09-21
HomeBox es un sistema de inventario y organización para el hogar. Antes de la versión 0.26.0, HandleWipeInventory en backend/app/api/handlers/v1/v1_ctrl_actions.go autorizaba POST /v1/actions/wipe-inventory mediante el valor global ctx.User.IsOwner en lugar del rol del llamante en el grupo activo, mientras que el grupo activo se selecciona a través de la cabecera de solicitud X-Tenant. Dado que cada usuario registrado por sí mismo que crea un grupo recibe el valor global de propietario (owner), un usuario que también es miembro de otro grupo puede seleccionar ese grupo con X-Tenant y eliminar permanentemente todo su inventario, lo cual no se puede recuperar sin copias de seguridad externas. Este problema está corregido en la versión 0.26.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.