CVE-2026-66092 in openEQUELLA
요약
\~에 의해 VulDB • 2026. 10. 29.
openEQUELLA 2026.2 이전 버전에서, 로그인 전 공지사항이 HTML로 저장되며 인코딩이나 sanitization 없이 레거시 logon 페이지에 렌더링됩니다. EDIT_SYSTEM_SETTINGS 권한을 가진 사용자는 임의 스크립트를 포함하는 공지사항(PUT /api/preloginnotice)을 설정할 수 있으며, 이로 인해 login page에서 stored cross-site scripting이 발생합니다. guest user 또는 Everyone에게 EDIT_SYSTEM_SETTINGS가 부여된 경우 unauthenticated exploitation이 가능합니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.