로그인 실패 화면 하나가 원격 코드 실행으로 걸어간 여정 — XSS2Shell
워드프레스 코어의 확장 취약점인 XSS2Shell(CVE-2026-64638)은 개별적으로 보면 낮은 심각도인 결함 여러 개가 이어져, 결국 무인증 원격 코드 실행(RCE)까지 도달하는 사례입니다. 시작은 로그인 실패 화면에 뜨는 문구 하나였습니다.
← 전체 글
태그: xss
CVE · CVE-2026-64638
CVE · CVE-2026-8445
HTML 출력만 소독했더니, Markdown 출구로 위험 태그가 빠져나갔다
Python HTML 소독 라이브러리 justhtml은 to_html() 출력은 안전했지만, 별도 출구인 to_markdown()에서는 엔티티 디코딩된 텍스트와 title/textarea/noscript/plaintext 같은 RCDATA 요소 내용을 이스케이프 없이 그대로 방출했습니다. 소독을 신뢰해 Markdown으로 렌더링하는 애플리케이션은 이 경로로 저장형 XSS에 노출될 수 있습니다(CVSS v4.0 9.3 / v3.1 9.8 CRITICAL, CWE-79, 1.11.0 이하 취약·1.12.0 패치 — CVE.org/GHSA 확인).
CVE · CVE-2026-7808
소독기를 믿었는데, 위험한 태그가 그대로 살아 나왔다
justhtml 1.16.0 미만 버전은 정책 객체 변조·대소문자 섞은 태그·doctype 조작 등 5가지 경로로 소독을 우회해 script/style 같은 능동 콘텐츠가 살아남을 수 있었습니다. NVD는 CVSS 9.8(v3.1)/9.3(v4.0)로 채점했지만, 유지관리자 자신의 자문은 '고급 사용 경로 전용'이라며 자체 심각도를 LOW로 매겨 두 평가가 갈립니다(CWE-20 주분류 — NVD/GHSA 확인).
CVE · CVE-2026-5388
링크를 씻는 손이 여러 곳에서 미끄러졌다
HTML 소독 라이브러리 justhtml 1.15.0 미만 버전은 URL 소독 도우미(clean_url_value 등), HTML 직렬화, Markdown 원문 통과(html_passthrough), 커스텀 정책이라는 여러 지점에서 동시에 우회 가능했습니다. 기본 설정(sanitize=True)만 쓰는 배포는 영향이 제한적이나, 통과 옵션·커스텀 정책을 쓰는 배포는 XSS에 노출됩니다(CVSS v4.0 9.3 / v3.1 9.8 CRITICAL, CWE-20 — MITRE·VulnCheck 확인).