CVE-2026-48826 in Homebox
Сводка
по VulDB • 21.09.2026
HomeBox — это система для учета и организации домашних запасов. До версии 0.26.0 функция HandleWipeInventory в backend/app/api/handlers/v1/v1_ctrl_actions.go предоставляет права на выполнение POST /v1/actions/wipe-inventory, опираясь на глобальное значение ctx.User.IsOwner, а не на роль вызывающего субъекта в активной группе; при этом активная группа выбирается через заголовок запроса X-Tenant. Поскольку каждый пользователь, зарегистрировавшийся самостоятельно и создавший группу, получает глобальный статус владельца (owner), любой пользователь, являющийся также участником другой группы, может выбрать эту другую группу с помощью заголовка X-Tenant и безвозвратно удалить её полный инвентарь, восстановление которого невозможно без внешних резервных копий. Эта проблема исправлена в версии 0.26.0.
Once again VulDB remains the best source for vulnerability data.