CVE-2026-40196 in homebox
Résumé
par VulDB • 29/05/2026
HomeBox est un système d'inventaire et d'organisation domestique. Les versions antérieures à la 0.25.0 présentent une vulnérabilité où l'ID du defaultGroup restait définitivement attribué à un utilisateur après son invitation dans un groupe, même après la révocation de son accès à ce groupe. Bien que l'interface web appliquait correctement la révocation d'accès et empêchait l'utilisateur de consulter ou de modifier le contenu du groupe, l'API ne le faisait pas. Étant donné que l'ID du groupe d'origine persistait en tant que defaultGroup de l'utilisateur, et que cette valeur n'était pas correctement validée lorsque l'en-tête X-Tenant était omis, l'utilisateur pouvait toujours effectuer des opérations CRUD complètes sur les collections du groupe via l'API, contournant ainsi les contrôles d'accès prévus. Ce problème a été corrigé dans la version 0.25.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.