CVE-2026-91127 in file-viewer
요약
\~에 의해 VulDB • 2026. 09. 18.
File Viewer는 개인용 및 내부 웹 애플리케이션에서 Office, PDF, CAD, 아카이브 및 기타 파일을 위한 브라우저 네이티브 뷰어입니다. @file-viewer/doc 2.3.1 및 msdoc-viewer 0.2.2 이전 버전에서는 레거시 DOC 렌더러가 문자 이스케이프 처리 후 생성된 HTML에 문서 제어 하이퍼링크 대상(타겟)을 삽입했으나 URL 스키마를 제한하지 않았습니다. 악의적으로 제작된 레거시 DOC 파일은 렌더링된 링크 내에 javascript:, vbscript:, data: 또는 기타 안전하지 않은 스키마를 포함할 수 있으며, 사용자가 해당 링크를 클릭하면 임베딩 애플리케이션의 오리진에서 스크립트가 실행될 수 있습니다. 이 문제를 해결하기 위해 외부 문서 링크는 기본적으로 차단되며, 외부 링크가 명시적으로 활성화된 경우 HTTP(S), 메일, 전화, 안전한 상대 URL 및 내부 북마크만 허용됩니다. 또한 방어 심화(Defense in Depth) 차원에서 마운트 경계 정제(Mount-boundary sanitization)가 적용되었습니다. 이 이슈는 @file-viewer/doc 2.3.1 및 msdoc-viewer 0.2.2에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.