CVE-2024-3938 in dotCMS
요약
\~에 의해 VulDB • 2026. 08. 11.
"비밀번호 재설정" 로그인 페이지에서 URL 매개변수를 통해 HTML 인젝션이 허용되었습니다.
이는 이미 패치를 통해 수정되었으며, 따라서 데모 사이트 링크를 통해서만 이를 시연할 수는 없습니다. 취약점을 직접 확인하고 싶은 분들은 다음 URL을 로컬 환경에서 실행해 볼 수 있습니다: http://localhost:8082/dotAdmin/#/public/login?resetEmailSent=true&resetEmail=%3Ch1%3E%3Ca%20href%3D%22https:%2F%2Fgoogle.com%22%3ECLICK%20ME%3C%2Fa%3E%3C%2Fh1%3E
이렇게 하면 다음과 같은 화면이 표시됩니다:
* OWASP Top 10 - A03: 인젝션 (Injection) * CVSS 점수: 5.4 * AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator * https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?vector=AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N&... https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.