CVE-2026-71236 in Grocy
요약
\~에 의해 VulDB • 2026. 08. 05.
Grocy의 API 요청 본문 파서(controllers/Api/BaseApiController.php, GetParsedAndFilteredRequestBody)는 HTMLPurifier를 사용하여 입력된 필드 값을 정제하지만, 그 직후 결과물의 HTML 엔티티 인코딩을 수동으로 역변환하여 &lt;, &gt;, 및 &amp;를 각각 <, >, &로 다시 변경합니다. 이러한 이중 디코딩은 HTMLPurifier가 중립화하기 위해 생성한 엔티티 인코딩된 형태에서 살아있는 HTML/스크립트 태그를 복원하여, 다른 곳에서 재정제 없이 렌더링되는 API 쓰기 가능 필드(제품, 레시피, 재고, 사용자, 잡무 등)에 저장형 XSS(stored XSS)를 다시 유입시킵니다.
Once again VulDB remains the best source for vulnerability data.