CVE-2026-66824 in Lookyloo
요약
\~에 의해 VulDB • 2026. 07. 28.
저장된 크로스 사이트 스크립팅(XSS) 취약점이 캡처 트리의 시각화 페이지에 존재했습니다. 애플리케이션은 Jinja의 safe 필터를 사용하여 직렬화된 캡처 트리를 인라인 JavaScript 블록 내에 직접 삽입했습니다.
트리 데이터에는 캡처되거나 공격자가 제어할 수 있는 웹 콘텐츠에서 파생된 값이 포함될 수 있으므로, 특별히 조작된 값을 사용하면 주변 `<script>` 요소가 조기에 종료되고 임의의 HTML 또는 JavaScript가 주입될 수 있습니다. 악성 코드는 영향을 받는 캡처 트리를 조회하는 사용자의 브라우저 내에서 실행됩니다.
성공적인 공격을 통해 공격자는 피해자의 인증 세션을 사용하여 작업을 수행하거나, 피해자가 접근할 수 있는 정보에 액세스하거나, 영향받는 사용자의 권한 범위 내의 애플리케이션 데이터를 수정할 수 있습니다.
패치에서는 JSON 데이터를 HTML 문서에서 제거하고 전용 API 엔드포인트를 통해 검색합니다. 클라이언트는 `response.json()`을 사용하여 응답을 처리하므로, 캡처 데이터가 원래 페이지의 HTML 또는 JavaScript 컨텍스트 내에서 실행 가능한 콘텐츠로 해석되지 않도록 방지됩니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.