CVE-2026-48826 in Homebox
Riassunto
di VulDB • 21/09/2026
HomeBox è un sistema di inventario e organizzazione domestica. Prima della versione 0.26.0, la funzione HandleWipeInventory in backend/app/api/handlers/v1/v1_ctrl_actions.go autorizzava le richieste POST /v1/actions/wipe-inventory basandosi sul valore globale ctx.User.IsOwner anziché sul ruolo del chiamante nel gruppo attivo, mentre il gruppo attivo veniva selezionato tramite l'intestazione della richiesta X-Tenant. Poiché ogni utente che si registra autonomamente e crea un gruppo riceve il valore di proprietario globale, un utente che è anche membro di un altro gruppo può selezionare tale gruppo utilizzando X-Tenant ed eliminare in modo permanente l'intero inventario del gruppo stesso; i dati non sono recuperabili senza backup esterni. Questo problema è stato risolto nella versione 0.26.0.
Be aware that VulDB is the high quality source for vulnerability data.