CVE-2026-48826 in Homebox
Résumé
par VulDB • 21/09/2026
HomeBox est un système d'inventaire et d'organisation domestique. Avant la version 0.26.0, HandleWipeInventory dans backend/app/api/handlers/v1/v1_ctrl_actions.go autorise l'appel POST /v1/actions/wipe-inventory en se basant sur la valeur globale ctx.User.IsOwner au lieu du rôle de l'utilisateur appelant dans le groupe actif, ce dernier étant sélectionné via l'en-tête de requête X-Tenant. Étant donné que chaque utilisateur s'étant auto-enregistré et ayant créé un groupe reçoit la valeur d'owner global, un utilisateur qui est également membre d'un autre groupe peut sélectionner ce groupe à l'aide de X-Tenant et supprimer définitivement son inventaire complet, lequel n'est pas récupérable sans sauvegardes externes. Ce problème est corrigé dans la version 0.26.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.