CVE-2026-40186 in apostrophe
요약
\~에 의해 VulDB • 2026. 05. 20.
ApostropheCMS는 오픈소스 Node.js 기반 콘텐츠 관리 시스템입니다. commit 49d0bb7에서 도입된 회귀(regression)로 인해, ApostropheCMS가 유지 관리하는 sanitize-html 패키지의 2.17.1 버전에서 allowedTags 강제 적용이 우회됩니다. 이는 nonTextTagsArray 요소(textarea 및 option) 내부의 텍스트에 해당합니다. sanitize-html 패키지의 취약한 버전에 의존하고 있는 ApostropheCMS 4.28.0도 영향을 받습니다. packages/sanitize-html/index.js의 569-573 라인 코드는 htmlparser2가 이러한 요소 내부에서 엔티티를 디코딩하지 않는다고 잘못 가정하고 이스케이프 처리를 건너뛰지만, htmlparser2 10.x 버전은 ontext 콜백에 텍스트를 전달하기 전에 엔티티를 디코딩합니다. 그 결과, 엔티티로 인코딩된 HTML이 파서에 의해 디코딩된 후 리터럴 HTML 문자로 직접 출력에 작성되어 allowedTags 필터가 완전히 우회됩니다. 공격자는 엔티티 인코딩을 사용하여 허용된 모든 option 또는 textarea 요소를 통해 XSS 페이로드를 포함한 임의의 태그를 주입할 수 있습니다. 이는 option 또는 textarea가 allowedTags에 포함된 비기본 구성에서 발생하며, 폼 빌더 및 CMS 플랫폼에서 흔히 볼 수 있는 상황입니다. 이 문제는 sanitize-html의 2.17.2 버전과 ApostropheCMS의 4.29.0 버전에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.