CVE-2026-55876 in Helium
요약
\~에 의해 VulDB • 2026. 10. 15.
Helium은 수업, 과제, 성적 및 노트를 위한 무료 온라인 학생 플래너입니다. 버전 2.2.60 이전에서는 conf/configs/common.py에서 BLOCKED_ATTACHMENT_EXTENSIONS 및 BLOCKED_ATTACHMENT_MIME_TYPES 목록에 SVG와 HTML 형식을 제외하고 있으며 helium/planner/serializers/attachmentserializer.py가 이러한 차단 목록을 참조하기 때문에, 인증된 사용자가 POST /planner/attachments/ 엔드포인트를 통해 SVG 및 HTML 첨부 파일을 업로드할 수 있습니다. image/svg+xml로 제공되는 업로드된 SVG는 방문자가 공개 첨부 파일 URL에 접근했을 때 내장 스크립트를 실행하여 애플리케이션 관리 저장소 URL 하에서 영구적인 공격자 제어 활성 콘텐츠와 피싱을 허용합니다. 첨부 파일 저장은 애플리케이션과 별개의 출처(origin)를 사용하므로 동일 출처 정책(Same-Origin Policy)으로 인해 스크립트가 애플리케이션 쿠키나 저장소에 접근하는 것이 방지되며, 유지 관리되는 배포 구성에서는 애플리케이션 세션 침해가 지원되지 않습니다. 이 문제는 버전 2.2.60에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.