CVE-2026-48826
WysokieCVSS 8.1Streszczenie
HomeBox, system inwentaryzacji i organizacji domu, w wersjach przed 0.26.0 posiada podatność w HandleWipeInventory w backend/app/api/handlers/v1/v1_ctrl_actions.go. Funkcja autoryzuje POST /v1/actions/wipe-inventory na podstawie globalnej wartości ctx.User.IsOwner zamiast roli wywołującego w aktywnej grupie, podczas gdy aktywna grupa jest wybierana przez nagłówek X-Tenant. Ponieważ każdy samodzielnie zarejestrowany użytkownik, który tworzy grupę, otrzymuje globalną wartość właściciela, użytkownik będący również członkiem innej grupy może wybrać tę grupę przez X-Tenant i trwale usunąć cały jej inwentarz, co jest nieodwracalne bez zewnętrznych kopii zapasowych.
Ocena ryzyka
Użytkownik może trwale usunąć cały inwentarz innej grupy, powodując nieodwracalną utratę danych. Może to prowadzić do poważnych zakłóceń operacyjnych i strat finansowych.
Rekomendacja
Zaktualizuj HomeBox do wersji 0.26.0 lub nowszej. Do czasu aktualizacji ogranicz dostęp do endpointu wipe-inventory i regularnie wykonuj kopie zapasowe danych.
Inne podatności w HomeBox
Zobacz wszystkie- CVE-2026-55473Średnie
W HomeBox domyślnie włączone zabezpieczenia SSRF BlockBogonNets i BlockCloudMetadata w notifier_url.go nie sprawdzają adresów IPv4 osadzonych w prefiksach NAT64 64:ff9b::/96 i 64:ff9b:1::/48. Uwierzytelniony użytkownik może przesłać notifier generic:// przez POST /v1/notifiers lub POST /v1/notifiers/test, a w instancji z wyjściem NAT64/DNS64 brama może przetłumaczyć zaakceptowany adres IPv6 na metadane chmurowe, localhost lub inny wewnętrzny host IPv4. Ścieżka testowa zwraca informacje o wyniku dostarczenia, co może ujawnić pobrane metadane, takie jak tymczasowe poświadczenia. Problem naprawiono w wersji 0.26.0.
- CVE-2026-48976Wysokie
HomeBox, system inwentaryzacji i organizacji domu, w wersjach przed 0.26.0 posiada podatność w NotifierRepository.Update w backend/internal/data/repo/repo_notifier.go. Funkcja aktualizuje notifier przez UpdateOneID(id) bez wymagania zgodności identyfikatora użytkownika rekordu z uwierzytelnionym użytkownikiem. Uwierzytelniony użytkownik, który poda UUID notifiera innego najemcy do PUT /v1/notifiers/{id}, może odczytać zwrócony zapisany URL, który może zawierać poświadczenia Shoutrrr w postaci jawnej dla Slack, SMTP, Telegram, Pushover lub Discord, oraz może zastąpić URL, aby przekierować powiadomienia ofiary do webhooka kontrolowanego przez atakującego.
- CVE-2026-48975Wysokie
HomeBox, system inwentaryzacji i organizacji domu, w wersjach przed 0.26.0 posiada podatność w MaintenanceEntryRepository.Update i MaintenanceEntryRepository.Delete w backend/internal/data/repo/repo_maintenance_entry.go. Funkcje używają UpdateOneID(id) i DeleteOneID(id) bez weryfikacji, czy wpis konserwacji należy do aktywnej grupy uwierzytelnionego użytkownika. Uwierzytelniony użytkownik o niskich uprawnieniach, który zna lub wyliczy UUID wpisu konserwacji innego najemcy, może nadpisać ten rekord lub trwale go usunąć.
- CVE-2026-48974Średnie
W HomeBox endpoint POST /v1/groups/members wywołuje HandleGroupMemberAdd i GroupService.AddMember z użyciem dostarczonego przez wywołującego userID bez wymagania roli właściciela, tokenu zaproszenia, zgody użytkownika docelowego ani powiadomienia. Każdy uwierzytelniony użytkownik może zmusić inne konto do dołączenia do swojej grupy, ujawnić adres e-mail i nazwę użytkownika docelowego przez listę członków oraz utworzyć warunek członkostwa wykorzystywany przez osobną podatność czyszczenia zapasów między grupami. Problem naprawiono w wersji 0.26.0.
Oryginalny opis (angielski, źródło NVD)
HomeBox is a home inventory and organization system. Prior to 0.26.0, HandleWipeInventory in backend/app/api/handlers/v1/v1_ctrl_actions.go authorizes POST /v1/actions/wipe-inventory through the global ctx.User.IsOwner value instead of the caller's role in the active group, while the active group is selected through the X-Tenant request header. Because every self-registered user who creates a group receives the global owner value, a user who is also a member of another group can select that group with X-Tenant and permanently delete its complete inventory, which is not recoverable without external backups. This issue is fixed in version 0.26.0.