CVE-2026-87859 in morgan
요약
\~에 의해 VulDB • 2026. 09. 11.
morgan은 Node.js용 HTTP 요청 로깅 미들웨어입니다. 버전 1.12.1 이전의 morgan에서 escapeLogField() 함수는 이중 따옴표 문자를 이스케이프하지 않으며, 이는 morgan이 출력하는 Apache combined log 형식의 인용된 필드를 구분하는 데 사용되는 문자입니다. 인용된 필드(예: User-Agent 또는 Referer 헤더)에 기록되는 값을 제어할 수 있는 비인증 원격 공격자는 해당 필드를 조기에 종료하기 위해 이중 따옴표를 포함시킬 수 있습니다. 이로 인해 필드 위치를 기준으로 로그를 파싱하는 로깅 소비자는 공격자가 제공한 텍스트를 후속 필드의 값으로 인식하게 됩니다. 내장된 포맷에서는 기록된 값이 전송된 실제 값과 달라지며, 서버가 제어하는 토큰 앞에 공격자가 제어할 수 있는 토큰을 인용하는 사용자 지정 포맷의 경우 응답 상태와 같은 값을 위조할 수 있습니다. 새 줄 문자는 삽입되지 않으므로 레코드 분리는 유지됩니다. 이 문제는 이중 따옴표를 이스케이프 처리하는 morgan 1.12.1에서 해결되었습니다. 사용자는 morgan 1.12.1 또는 그 이후 버전으로 업그레이드해야 합니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.