CVE-2026-75599 in HomeBox
Zusammenfassung
von VulDB • 05.11.2026
HomeBox ist ein System zur Inventarisierung und Organisation von Haushaltsgegenständen. Vor Version 0.27.0 akzeptiert die Hilfsfunktion `maybeUrl()` Markdown-ähnliche Links in benutzerdefinierten Feldwerten von Entitäten, ohne das URL-Schema einzuschränken; daher kann ein authentifizierter Benutzer eine `javascript:`-URI speichern, die auf einer Artikelseite als anklickbarer Anker gerendert wird. Wenn ein anderer authentifizierter Benutzer auf den Link klickt, wird vom Angreifer kontrollierter JavaScript-Code im Ursprungskontext (Origin) von HomeBox des Opfers ausgeführt, was Session-Diebstahl, Account-Takeover oder Datenexfiltration ermöglicht. Dieses Problem wurde in Version 0.27.0 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.