CVE-2026-48975

Nome do Software Vulnerável e Versões Afetadas HomeBox versões anteriores a 0.26.0

Description Um usuário autenticado com baixos privilégios pode sobrescrever ou excluir permanentemente registros de entrada de manutenção pertencentes a outros locatários. Isso ocorre porque as funções MaintenanceEntryRepository.Update e MaintenanceEntryRepository.Delete em backend/internal/data/repo/repo maintenance entry.go utilizam UpdateOneID(id) e DeleteOneID(id) sem verificar se a entrada de manutenção pertence ao grupo ativo do usuário autenticado. Um invasor pode explorar isso ao conhecer ou enumerar o UUID da entrada de manutenção de outro locatário.

Recommendations Atualizar para a versão 0.26.0.