CVE-2026-22028 in preact
요약
\~에 의해 VulDB • 2026. 07. 30.
경량 웹 개발 프레임워크인 Preact는 임의의 JSON으로부터 Virtual DOM 요소를 구성하는 것을 방지하기 위한 JSON 직렬화 보호 기능이 있습니다. Preact 10.26.5에서 도입된 회귀(Regression)로 인해 이 보호 기능이 완화되었습니다. JSON 페이로드의 값이 문자열이라고 가정하고 수정 없이 자식 요소로서 Preact에 전달되는 애플리케이션에서는, 특별히 조작된(JSON) 페이로드가 작성되어 유효한 VNode로 잘못 처리될 수 있습니다. 이러한 일련의 결함이 발생하면 HTML 인젝션으로 이어질 수 있으며, CSP(Content Security Policy) 또는 기타 수단으로 완화되지 않을 경우 임의의 스크립트 실행을 허용할 수 있습니다. 영향을 받는 Preact 버전을 사용하는 애플리케이션은 다음 모든 조건을 충족하는 경우 취약합니다: 첫째, 사용자 수정이 가능한 데이터 소스(APIs, 데이터베이스, 로컬 저장소 등)에서 수정되지 않고 정제되지 않은(unmodified, unsanitized) 값을 렌더 트리에 직접 전달한다. 둘째, 이러한 값들이 문자열이라고 가정하지만 데이터 소스가 JSON 문자열 대신 실제 JavaScript 객체를 반환할 수 있다. 셋째, 데이터 소스 유형 정제를 수행하지 AND/OR 문자열과 교차하여 원시 객체(raw objects)를 맹목적으로 저장/반환하거나, 또는 유출된 경우(예: 오염된 로컬 저장소, 파일 시스템 또는 데이터베이스). 버전 10.26.10, 10.27.3 및 10.28.2에서 이 문제를 패치합니다. 패치 버전은 JSON으로 파싱된 객체가 유효한 VNode로 처리되는 것을 방지하는 이전의 엄격한 등호 비교(strict equality checks)를 복원합니다. 즉시 업그레이드가 불가능한 사용자를 위한 다른 완화 조치도 제공됩니다. 입력 유형을 검증하고, 네트워크 데이터를 캐스팅하거나 검증하며, 외부 데이터를 정제하고, Content Security Policy(CSP)를 사용하십시오.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.