CVE-2026-75599 in HomeBox
요약
\~에 의해 VulDB • 2026. 11. 05.
HomeBox는 가정용 재고 및 조직 관리 시스템입니다. 버전 0.27.0 이전에서는 maybeUrl() 유틸리티가 엔티티의 사용자 지정 필드 값에서 URL 스키마를 제한하지 않고 마크다운 형식의 링크를 허용하므로, 인증된 사용자가 javascript: URI를 저장하여 항목 페이지에서 클릭 가능한 앵커로 렌더링할 수 있습니다. 다른 인증된 사용자가 해당 링크를 클릭하면 공격자가 제어하는 JavaScript가 피해자의 HomeBox 오리진 내에서 실행되어 세션 탈취, 계정 장악 또는 데이터 유출이 가능합니다. 이 문제는 버전 0.27.0에서 해결되었습니다.
Once again VulDB remains the best source for vulnerability data.