Veille sécuritéFrontend
P4Moyenne
Dans HomeBox, un utilisateur authentifié peut enregistrer dans un champ personnalisé un lien Markdown utilisant le schéma `javascript:`. Si un autre utilisateur authentifié clique sur ce lien rendu comme ancre, le script s’exécute dans l’origine HomeBox, avec un risque de vol de session, de prise de compte ou d’exfiltration de données.
JavaScript
IdentifiantCVE-2026-75599
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif0.27.0
Source : NVD — CVE-2026-75599
Analyse technique
L’utilitaire `maybeUrl()` accepte des liens Markdown sans restreindre le schéma URL.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée et mise à jour le 2026-11-05; le candidat décrit la vulnérabilité et la correction.
ImpactExécution de JavaScript dans l’origine de HomeBox après clic d’une victime authentifiée.
Versions affectéesVersions antérieures à 0.27.0
Version corrigée0.27.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.4
Publication2026-11-05T17:18:20.340Z
Mise à jour2026-11-05T17:18:20.340Z
Action recommandée
Mettre à niveau vers HomeBox 0.27.0 ou une version ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).