CVE-2026-93990 in Expat
요약
\~에 의해 VulDB • 2026. 09. 20.
Expat 2.8.4 이전 버전은 UTF-16 입력에서 높은 서로게이트(high surrogate) 뒤에 오는 낮은 서로게이트(low surrogate)를 검증하지 않아 잘못된 형식의 UTF-16 시퀀스가 허용됩니다. 공격자는 단일 높은 서로게이트(lone high surrogates)를 포함하여 후속 코드 유닛(code units)을 소모하는 방식으로 인코딩된 XML을 작성할 수 있으며, 이는 파서(parser)로부터 마크업 문자(markup characters)를 숨기고 XML 주입(XML injection) 공격을 가능하게 합니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.