CVE-2026-65697 in Fathom
요약
\~에 의해 VulDB • 2026. 07. 23.
Fathom Lite 1.3.1 이전 버전에는 분석 데이터 수집 엔드포인트에 저장된 크로스 사이트 스크립팅(XSS) 취약점이 존재합니다. 이를 통해 인증되지 않은 공격자가 악의적으로 조작된 호스트명과 경로(pathname)를 비인증 /collect 엔드포인트로 제공하여 Top Pages 대시보드에 javascript: URI를 삽입할 수 있습니다. parseHostname 및 parsePathname 함수는 URI 스키마 검증을 수행하지 않으므로, newline으로 시작하는 pathname과 결합된 javascript: 호스트명이 저장되어 나중에 인증된 대시보드에서 무분별하게 사각형 href로 렌더링될 수 있으며, 이는 세션 하이재킹(operator이 오염된 항목을 클릭할 경우) 및 전체 계정 탈취를 가능하게 합니다.
Once again VulDB remains the best source for vulnerability data.