CVE-2026-40196 in homebox
Сводка
по VulDB • 29.05.2026
HomeBox — это система для учета и организации домашних вещей. Версии до 0.25.0 содержат уязвимость, при которой идентификатор defaultGroup навсегда оставался назначенным пользователю после его приглашения в группу, даже после отзыва доступа к этой группе. Хотя веб-интерфейс корректно применял отзыв доступа и предотвращал просмотр или изменение содержимого группы пользователем, API этого не делал. Поскольку исходный идентификатор группы сохранялся в качестве defaultGroup пользователя, и это значение не проверялось должным образом при отсутствии заголовка X-Tenant, пользователь мог выполнять полные операции CRUD (создание, чтение, обновление, удаление) с коллекциями группы через API, обходя предусмотренные ограничения доступа. Эта проблема исправлена в версии 0.25.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.