PT-2026-33517 · Homebox · Homebox

Publicado 2026-04-17 · Atualizado 2026-04-21 · CVE-2026-40196

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

Name of the Vulnerable Software and Affected Versions HomeBox versões anteriores a 0.25.0

Description Existe um problema onde o ID defaultGroup permanece permanentemente atribuído a um usuário após o acesso a um grupo ser revogado. Embora a interface web aplique essa revogação, a API não valida adequadamente o valor de defaultGroup quando o cabeçalho 'X-Tenant' é omitido. Isso permite que um usuário realize operações completas de CRUD (Criação, Leitura, Atualização e Exclusão) nas coleções do grupo via API, ignorando os controles de acesso.

Recommendations Atualizar para a versão 0.25.0.

Correção

Enumeração de Fraquezas

CWE-708

Identificadores relacionados

CVE-2026-40196

Produtos afetados

Homebox

Referências · 5

• https://github.com/sysadminsmedia/homebox/releases/tag/v0.25.0 · Nota
• https://github.com/sysadminsmedia/homebox/security/advisories/GHSA-6pvm-v73p-p6m9 · Aviso do Fabricante
• https://twitter.com/giuseppe_1337/status/2046397901065118036 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-40196 · Nota de Segurança
• https://twitter.com/CVEnew/status/2045467391509836149 · Publicação no Twitter