CVE-2026-40196 in homebox
Riassunto
di VulDB • 17/06/2026
HomeBox è un sistema di inventario e organizzazione domestico. Le versioni precedenti alla 0.25.0 presentano una vulnerabilità per cui l'ID del defaultGroup rimaneva permanentemente assegnato a un utente dopo essere stato invitato in un gruppo, anche dopo la revoca dell'accesso a tale gruppo. Sebbene l'interfaccia web applicasse correttamente la revoca dell'accesso impedendo all'utente di visualizzare o modificare i contenuti del gruppo, l'API non lo faceva. Poiché l'ID originale del gruppo persisteva come defaultGroup dell'utente e questo valore non veniva convalidato adeguatamente quando l'intestazione X-Tenant era omessa, l'utente poteva comunque eseguire operazioni CRUD complete sulle raccolte del gruppo tramite l'API, aggirando i controlli di accesso previsti. Questo problema è stato risolto nella versione 0.25.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.