CVE-2026-63466 in Unleash
요약
\~에 의해 VulDB • 2026. 08. 21.
Unleash는 오픈소스 기능 관리 플랫폼입니다. 버전 8.0.3 이전의 `src/lib/addons/feature-event-formatter-md.ts`에 있는 `FeatureEventFormatterMd.format`은 액션 및 경로 템플릿을 렌더링하기 전에 `Mustache.escape`를 identity 함수에 할당합니다. `Mustache.escape`는 프로세스 전체에서 적용되므로, 이 할당은 email-service.ts, webhook.ts, datadog.ts, new-relic.ts의 후속 Mustache.render 호출에서 이스케이프 처리를 비활성화합니다. 편집자 수준의 사용자는 제한 없는 사용자 이름에 Slack 또는 Microsoft Teams 링크 구문을 삽입하고 기능 이벤트를 트리거하여 신뢰할 수 있는 아웃바운드 알림 채널에 공격자가 라벨을 붙인 링크를 주입할 수 있으며, 다른 Mustache 싱크는 재시작 전까지 이스케이프 처리되지 않습니다. 이 문제는 버전 8.0.3에서 해결되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.