← volver
CVE-2026-40196

HomeBox has Unauthorized API Access via Retained defaultGroup ID After Group Access Revocation

CVSS 8.1 HIGHEPSS 0.2%CWE-708
En resumen

HomeBox permitía que usuarios siguieran accediendo a los datos de un grupo a través de la API incluso después de perder acceso, porque el sistema olvidaba remover su asignación de grupo predeterminado. Esto significa que alguien podría leer, modificar y eliminar elementos en un grupo del que debería estar bloqueado.

Detalle técnico

La vulnerabilidad existe en la lógica de validación de la API de HomeBox, donde el defaultGroup ID persiste en las sesiones del usuario después de la revocación de acceso. Cuando el encabezado X-Tenant se omite en las solicitudes de la API, el sistema recurre a este valor obsoleto sin revalidar la autorización, permitiendo que usuarios autenticados realicen operaciones CRUD en grupos cuyo acceso fue revocado. La interfaz web aplica controles de acceso correctamente, pero la API carece de esta validación.

Resumen generado y traducido por IA a partir de la descripción oficial.
HomeBox is a home inventory and organization system. Versions prior to 0.25.0 contain a vulnerability where the defaultGroup ID remained permanently assigned to a user after being invited to a group, even after their access to that group was revoked. While the web interface correctly enforced the access revocation and prevented the user from viewing or modifying the group's contents, the API did not. Because the original group ID persisted as the user's defaultGroup, and this value was not properly validated when the X-Tenant header was omitted, the user could still perform full CRUD operations on the group's collections through the API, bypassing the intended access controls. This issue has been fixed in version 0.25.0.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
Productos afectados
sysadminsmedia · homebox

¿Quieres saber si tu infraestructura está expuesta a esto?

Hablar con TrueHacking →
Referencias
https://github.com/sysadminsmedia/homebox/releases/tag/v0.25.0https://github.com/sysadminsmedia/homebox/security/advisories/GHSA-6pvm-v73p-p6m9