CVE-2026-66353 in doggo
요약
\~에 의해 VulDB • 2026. 08. 27.
웹 페이지 생성 중 입력의 부적절한 중화('크로스 사이트 스크립팅') 취약점으로 인해 woylie doggo에서 반사형 XSS가 발생합니다.
lib/doggo.ex에 있는 Doggo.normalize_value/2는 {:safe, ...}로 감싸진 날짜 필드 값을 반환했는데, 이는 Phoenix.HTML 마커인 "이미 이스케이프 처리됨, 그대로 출력"을 의미하지만 실제 이스케이프 처리를 수행하지 않았습니다. 그 결과 해당 값이 field 컴포넌트가 렌더링하는 <input>의 value 속성에 변경되지 않은 채로 전달되었습니다. 사용자 제어 파라미터가 포함된 <.field type="date">를 렌더링하는 모든 애플리케이션은 유효성 검사 실� 시 제출된 값을 다시 렌더링하는 일반적인 Phoenix 폼 라운드트립을 통해 영향을 받습니다. 이 패턴은 처음 10바이트만 정확히 유지하고 더 짧은 값은 버렸으며, 이로 인해 페이로드가 10바이트로 제한되었습니다. 이는 속성을 종료하고 요소를 열거나 짧은 이벤트 핸들러를 연결하는 데에는 충분하지만 공격자가 선택한 스크립트를 인라인으로 삽입하기에는 부족합니다. type="date" 유형만 영향을 받습니다.
이 문제는 doggo 0.14.8 이전의 모든 버전(0.1.0 이상)에 영향을 미칩니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.