PT-2026-22773 · Homebox · Homebox

G3Xar · Publicado 2026-03-03 · Atualizado 2026-03-04 · CVE-2026-26272

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do HomeBox anteriores à 0.24.0-rc.1

Descrição O HomeBox é um sistema de inventário e organização doméstica. Existe uma vulnerabilidade de cross-site scripting (XSS) armazenado na funcionalidade de upload de anexos de itens. A aplicação não valida ou restringe adequadamente os tipos de arquivos enviados, permitindo que um usuário autenticado faça upload de arquivos HTML ou SVG maliciosos contendo JavaScript executável. Os anexos enviados são acessíveis via links diretos. Quando um usuário acessa tal arquivo em seu navegador, o JavaScript incorporado é executado no contexto da origem da aplicação. A funcionalidade vulnerável envolve o upload de anexos.

Recomendações Atualize para a versão 0.24.0-rc.1 ou posterior.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-26272

GHSA-55FV-9Q6Q-VPCR

Produtos afetados

Homebox

Referências · 10

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/26xxx/CVE-2026-26272.json · Exploit
• https://github.com/sysadminsmedia/homebox/security/advisories/GHSA-55fv-9q6q-vpcr · Aviso do Fabricante
• https://github.com/sysadminsmedia/homebox/commit/51bd04e5f4656b306a296745ddd854d45aa3b892 · Correção
• https://t.me/CVEtracker/46253 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2026-26272 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/2029077816331977206 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2028974437492461982 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-26272 · Nota de Segurança
• https://reddit.com/r/selfhosted/comments/1rjtl6r/homebox_v0420_released · Publicação no Reddit
• https://twitter.com/infoflowcloud/status/2028975348369539093 · Publicação no Twitter