CVE-2026-40196
Açıklama
HomeBox bir ev envanteri ve organizasyon sistemidir. 0.25.0 öncesindeki sürümler, bir kullanıcı bir gruba davet edildikten sonra, bu gruba erişimi kaldırılsa bile defaultGroup ID'sinin kalıcı olarak kullanıcıya atanmaya devam ettiği bir güvenlik açığı içermektedir. Web arayüzü erişim kaldırmayı doğru şekilde uygulayıp kullanıcının grubun içeriğini görüntülemesini veya değiştirmesini engellerken, API bunu yapmamaktaydı. Orijinal grup ID'si kullanıcının defaultGroup değeri olarak kaldığı ve X-Tenant başlığı eksik olduğunda bu değer düzgün şekilde doğrulanmadığı için, kullanıcı API üzerinden grubun koleksiyonları üzerinde tam CRUD işlemleri gerçekleştirebilmekte ve böylece hedeflenen erişim kontrollerini atlatabilmekteydi. Bu sorun 0.25.0 sürümünde giderilmiştir.
Nasıl düzeltilir
- sysadminsmedia homebox0.25.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| sysadminsmedia homebox | v < 0.25.0 | 0.25.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.