CVE-2023-33187 in highlight.run
요약
\~에 의해 VulDB • 2026. 07. 31.
Highlight는 오픈 소스 풀 스택 모니터링 플랫폼입니다. Highlight는 고객 환경에서 비밀번호 HTML 입력 필드가 자바스크립트 "비밀번호 표시" 버튼을 통해 `type="text"`로 변경될 경우 비밀번호를 기록할 수 있습니다. 이는 `type="password"` 입력이 항상 가려지는(expected behavior) 예상 동작과 다릅니다. 사용자는 `type="text"`로 전환해도 해당 입력이 기록되지 않을 것이라고 가정하므로, DOM의 이 부분에 추가적인 `highlight-mask` CSS 클래스 기반 가림 처리를 적용하지 않게 됩니다. 그 결과 "비밀번호 표시" 버튼 사용 시 비밀번호 값이 의도치 않게 기록될 수 있습니다. 이 문제는 버전 6.0.0에서 패치되었습니다.
해당 패치는 입력 요소의 `type` 속성 변경을 추적하여, 이전에 `type="password"`였던 입력이 계속 가려지도록 보장합니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.