CVE-2026-48826 in Homebox
摘要
由 VulDB • 2026-09-21
HomeBox 是一个家庭库存和组织系统。在版本 0.26.0 之前，`backend/app/api/handlers/v1/v1_ctrl_actions.go` 中的 `HandleWipeInventory` 函数通过全局的 `ctx.User.IsOwner` 值来授权对 `/v1/actions/wipe-inventory` POST 请求的处理，而不是根据调用者在当前活动组（active group）中的角色进行权限验证。而该“活动组”是通过 `X-Tenant` 请求头选择的。由于每个自行注册用户创建组时都会获得全局的 owner 值，因此一个同时也是其他组成员的用户可以通过设置 `X-Tenant` 选择那个组，并永久删除其完整的库存数据；若无外部备份，这些数据将无法恢复。此问题已在版本 0.26.0 中修复。
If you want to get best quality of vulnerability data, you may have to visit VulDB.