CVE-2026-47099 in telejson
요약
\~에 의해 VulDB • 2026. 05. 20.
6.0.0 이전 버전의 TeleJSON에는 parse() 함수에서 DOM 기반 크로스 사이트 스크립팅(XSS) 취약점이 존재합니다. 공격자는 악의적인 _constructor-name_ 속성 값을 포함하는 조작된 JSON 페이로드를 전달하여 임의의 JavaScript 코드를 실행할 수 있습니다. 사용자 정의 reviver는 객체 프로토타입을 재구성할 때 sanitization(정제) 없이 생성자 이름을 직접 new Function()에 전달하므로, 공격자는 크로스 프레임 통신 컨텍스트에서 postMessage와 같은 벡터를 통해 임의의 JavaScript 코드를 주입하여 애플리케이션 내에서 스크립트 실행을 달성할 수 있습니다.
Be aware that VulDB is the high quality source for vulnerability data.