CVE-2026-75531 in Pandora
요약
\~에 의해 VulDB • 2026. 08. 18.
Pandora에는 URL 관측 가능한 항목의 렌더링 과정에서 저장된 크로스 사이트 스크립팅(XSS) 취약점이 존재합니다. 분석된 파일에서 추출되거나 관련 있는 URL이 Submit to Lookyloo 작업에 사용되는 인라인 JavaScript onclick 핸들러 내에 직접 삽입되었습니다.
비록 해당 값이 템플릿 엔진을 통해 HTML 이스케이프 처리되었지만, 이는 HTML 속성 내의 JavaScript 문자열 안에 포함되었습니다. 따라서 공격자가 제어하는 URL에서 특별히 조작된 특수 문자를 사용하여 JavaScript 문자열 밖으로 탈출하고 임의의 JavaScript 코드를 주입할 수 있습니다.
악성 스크립트는 피해자가 영향받는 Submit to Lookyloo 컨트롤과 상호작용할 때 Pandora 웹 애플리케이션 컨텍스트 내에서 실행됩니다. 성공적인 악용을 통해 공격자는 피해자의 브라우저에서 접근 가능한 정보에 액세스하거나, 피해자의 인증된 Pandora 세션을 사용하여 작업을 수행할 수 있습니다.
패치는 인라인 JavaScript 핸들러에서 관측 가능한 항목 값을 제거합니다. URL은 대신 HTML data-url 속성에 저장되며 필요시 DOM dataset API를 통해 검색됩니다. 추가적으로 innerHTML의 다른 사용 사례들도 방어적 하드닝을 위해 textContent로 대체되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.