CVE-2026-117645 in phoenix_html
요약
\~에 의해 VulDB • 2026. 10. 30.
웹 페이지 생성 중 입력의 부적절한 중화('크로스 사이트 스크립팅') 취약점이 phoenixframework phoenix_html에서 발견되어, 속성 이름을 제어할 수 있는 공격자가 Phoenix.HTML.attributes_escape/1을 통해 렌더링된 HTML에 속성과 스크립트를 주입할 수 있습니다.
lib/phoenix_html.ex의 attributes_escape/1 함수는 속성 값은 이스케이프 처리하지만 속성 이름은 그렇지 않습니다. key_escape/1 함수는 바이너리 키를 html_escape로 전달하여 따옴표와 각괄호(<, >)는 중화시키지만 공백 문자는 중화하지 않으므로, 'x onmouseover'와 같은 키가 기존 속성을 종료하고 새 속성을 시작하게 됩니다. 원자(Atom) 형태의 키는 대시만 추가되므로 따옴표나 '>'를 포함한 모든 문자가 통과됩니다. 중첩된 데이터, aria 및 phx 키도 동일한 경로를 따릅니다. 신뢰할 수 없는 입력으로부터 속성 키를 생성하여 HEEx <tag {@attrs}>, content_tag/3 또는 직접 호출을 통해 렌더링하는 애플리케이션이 영향을 받습니다. 3.0.0 이전 버전에서는 동일한 코드가 Phoenix.HTML.Tag에 존재했습니다.
본 이슈는 phoenix_html의 다음 버전에 영향을 미칩니다: 1.0.0 이상 3.3.5 미만, 및 4.0.0 이상 4.4.0 미만.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.