CVE-2020-15249 in October
요약
\~에 의해 VulDB • 2026. 06. 30.
October는 Laravel PHP 프레임워크를 기반으로 하는 무료, 오픈소스, 자체 호스팅 CMS 플랫폼입니다. October CMS의 버전 1.0.319부터 1.0.469 미만 버전까지에서는 파일 업로드 권한이 있는 백엔드 사용자가 업로드된 파일에 대한 어떠한 정제(sanitization)도 적용하지 않고 SVG 파일을 업로드할 수 있었습니다. 브라우저가 SVG 파일을 HTML로 파싱하여 처리할 수 있기 때문에, 이는 이론적으로 웹사이트 도메인 내 경로(예: /storage/app/media/evil.svg)에서 실행되는 JavaScript를 업로드할 수 있음을 의미합니다. 그러나 백엔드에서는 어디에서도 SVG를 인라인으로 표시하지 않으며, 백엔드 내에서 SVG는 이미지 리소스로서만 표시되므로 실제로 실행될 수는 없습니다. 따라서 공격자는 대상 사용자를 설득하여 해당 위치에 직접 접속하도록 유도해야 합니다. 이 문제는 빌드 469(v1.0.469) 및 v1.1.0에서 패치되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.