CVE-2026-41887 in framework
요약
\~에 의해 VulDB • 2026. 05. 08.
Flarum은 오픈소스 포럼 소프트웨어입니다. 버전 1.8.16 및 2.0.0-rc.1 이전 버전에서 Flarum은 CVE-2023-27577에 대한 패치로 custom_less 설정에서 @import 및 data-uri() LESS 기능을 제한했지만, 동일한 제한은 LESS 구성 변수로 등록된 다른 설정(예: theme_primary_color, theme_secondary_color 및 Extend\Settings::registerLessConfigVar()를 통해 등록된 모든 키)에는 적용되지 않았습니다. 이러한 값은 컴파일 시 LESS 소스에 그대로 삽입되므로, 인증된 관리자가 임의의 @import 지시문을 컴파일된 forum.css에 주입할 수 있는 theme-color 값을 생성할 수 있습니다. 하위 LESS 파서가 @import (inline) ''를 존중하기 때문에, 공격자는 PHP 프로세스가 접근 가능한 임의의 파일을 읽을 수 있는 로컬 파일 포함(Local File Inclusion) 또는 서버 측 요청 위조(Server-Side Request Forgery)를 유발하는 아웃바운드 HTTP(S) 요청을 트리거할 수 있습니다. 이 문제는 버전 1.8.16 및 2.0.0-rc.1에서 패치되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.