CVE-2026-55891 in PrivateBin
요약
\~에 의해 VulDB • 2026. 08. 29.
PrivateBin은 서버가 붙여넣기 데이터에 대해 전혀 알지 못하는(Zero Knowledge) 온라인 페이스트빈 서비스입니다. 버전 2.0.5 이전의 lib/Request.php 내 Request::getRequestUri() 함수는 $_SERVER['REQUEST_URI']를 FILTER_SANITIZE_URL 필터로 처리하지만, 이 필터는 따옴표, 각괄호(< >), 또는 아포스트로피(‘)를 제거하지 않습니다. 또한 Controller::_init()은 공격자가 제어할 수 있는 값을 Controller::$_urlBase에 저장합니다. 이후 lib/Controller.php 내의 Controller::_jsonld() 함수는 str_replace()를 사용하여 해당 값을 JSON 이스케이프 처리 없이 js/types.jsonld, js/paste.jsonld 및 /?jsonld=와 /?pasteid에서 사용되는 기타 JSON-LD 템플릿에 삽입합니다. 요청 대상(Request Target)을 정규화(normalize)하지 않는 HTTP 클라이언트, 프록시 또는 구조화된 데이터 크롤러가 전달하는 원본 따옴표는 JSON 문자열 내부를 탈출하여 CORS 개방형 application/ld+json 응답 내에 임의의 키-값 데이터를 주입할 수 있습니다. Controller::__construct() 내 jsonld 분기는 _setCacheHeaders() 전에 반환되므로, 해당 응답에는 X-Content-Type-Options: nosniff, 콘텐츠 보안 정책(Content Security Policy), X-Frame-Options 및 Referrer-Policy 헤더가 누락됩니다. 직접적인 스크립트 실행은 시연되지 않았지만, 조작된 응답은 구조화된 데이터 소비자(structured-data consumers)에 영향을 미치거나 덜 엄격한 클라이언트와 결합될 수 있습니다. 이 문제는 버전 2.0.5에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.