CVE-2026-92106 in lazy_html
요약
\~에 의해 VulDB • 2026. 09. 25.
웹 페이지 생성 중 입력의 부적절한 중화('크로스 사이트 스크립팅') 취약점이 dashbitco lazy_html에서 발견되어, 공격자가 제공한 HTML을 파싱하고 직렬화하는 라운드트립을 통해 mutation XSS가 가능합니다.
LazyHTML.to_html/2 및 LazyHTML.Tree.to_html/2는 요소의 텍스트를 태그 이름만으로 판단하여 이스케이프 처리 여부를 결정합니다. SVG 또는 MathML 외부 콘텐츠 내의 style 또는 script 요소는 문자 참조가 디코딩되어 파싱되지만, HTML raw-text 요소로 직렬화되므로 해당 텍스트는 이스케이프 없이 출력됩니다. 따라서 `<svg><style>` 내부에 `</style><img src=x onerror=...>`와 같은 인코드된 마크업이 포함되면 재파싱 시 요소를 종료하고 살아있는 마크업으로 동작합니다. lazy_html를 사용하여 신뢰할 수 없는 HTML을 파싱한 후 문서 또는 트리를 필터링하여 표시용으로 직렬화하는 애플리케이션은 영향을 받습니다. 이는 페이로드가 어떤 요소나 속성 필터에서도 감지되지 않는 일반 텍스트 노드이기 때문입니다.
본 이슈는 0.1.0부터 0.1.13 미만 버전의 lazy_html에 영향을 미칩니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.