CVE-2026-75599 in HomeBox
要約
〜によって VulDB • 2026年11月05日
HomeBoxは、家庭内の在庫管理および整理整頓システムです。バージョン0.27.0より前では、maybeUrl()ユーティリティがエンティティのカスタムフィールド値におけるマークダウン形式のリンクを受け入れる際、URLスキームを制限しないため、認証済みユーザーがjavascript: URIを保存でき、これがアイテムページ上でクリック可能なアンカーとしてレンダリングされます。別の認証済みユーザーがこのリンクをクリックすると、攻撃者が制御するJavaScriptが被害者のHomeBoxオリジン内で実行され、セッションの盗難、アカウント乗っ取り、またはデータ漏洩が可能になります。この問題はバージョン0.27.0で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.