CVE-2026-67617 in Microweber
요약
\~에 의해 VulDB • 2026. 08. 04.
Microweber CMS 버전 2.0.20 이전에는 콘텐츠 태깅 시스템에 저장형 크로스 사이트 스크립팅(XSS) 취약점이 존재합니다. 이 취약점은 GET /api/save_content_admin 엔드포인트의 tag_names 매개변수를 통해 악성 페이로드를 제출하여 관리자 권한을 가진 공격자가 임의의 JavaScript를 삽입할 수 있게 합니다. 이는 XSS 미들웨어(GET 요청은 무시함), double-quoted onerror 속성만 일치하는 strip_unsafe() 함수, HTML 10진수 엔티티 인코딩된 페이로드를 변경 없이 통과시키는 titlecase 정규화기 등 세 가지 독립적인 정제(sanitization) 컨트롤을 우회합니다. 공격자는 공개 블로그 페이지와 관리자 게시 에디터 내 모든 방문자에 대해 사용자 상호작용 없이 실행되는 악성 스크립트를 저장할 수 있으며, 이를 통해 페이지에 임베드된 CSRF 토큰을 사용한 동일 출처 fetch 요청으로 세션 라이딩(session riding)이 가능합니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.