CVE-2026-48826
Təsvir
HomeBox ev inventarı və təşkilat sistemidir. 0.26.0 versiyasından əvvəl, backend/app/api/handlers/v1/v1_ctrl_actions.go faylındakı HandleWipeInventory funksiyası POST /v1/actions/wipe-inventory sorğusunu aktiv qrupdakı çağıranın rolu əvəzinə qlobal ctx.User.IsOwner dəyəri vasitəsilə avtorizasiya edir, halbuki aktiv qrup X-Tenant sorğu başlığı (header) vasitəsilə seçilir. Qrup yaradan hər bir özünə qeydiyyatdan keçmiş istifadəçi qlobal sahib (owner) dəyərini aldığı üçün, digər qrupun üzvü olan istifadəçi X-Tenant ilə həmin qrupu seçə və onun bütün inventarını daimi olaraq silə bilər ki, bu da xarici ehtiyat nüsxələr olmadan bərpa edilə bilməz. Bu problem 0.26.0 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| sysadminsmedia homebox | < 0.26.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.