CVE-2026-63670 in Apostrophe
요약
\~에 의해 VulDB • 2026. 08. 17.
ApostropheCMS는 오픈 소스 Node.js 기반 콘텐츠 관리 시스템입니다. 버전 2.17.6 이전에서는 `sanitizeHtml()` 함수가 허용된 태그 목록에 textarea 또는 xmp이 포함된 경우, packages/sanitize-html/index.js를 통해 금지된 실행 가능 마크업을 전달할 수 있습니다. 이는 htmlparser2에서 raw-text 종료 태그 이름 뒤에 있는 literal solidus(슬래시)를 텍스트로 처리하고 ontext 핸들러가 해당 콘텐츠를 이스케이프 없이 방출하기 때문이며, 브라우저는 후속 img의 onerror 마크업을 활성 HTML로 파싱합니다. 이 문제는 버전 2.17.6에서 수정되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.