CVE-2026-96877: Drilldown 전체 텍스트 검색의 반사형 XSS

보고자: Marco Paciaroni (BomboBombone).

Cargo는 Drilldown 브레드크럼에 전체 텍스트 검색어를 HTML 이스케이프 없이 표시했습니다. 따라서 검색 입력이 결과 페이지에서 실행 가능한 마크업이 될 수 있었습니다.

영향을 받는 버전

CVE 레코드는 Cargo 3.9.4까지를 영향을 받는 버전으로 식별합니다.

영향 및 조건

이 문제는 전체 텍스트 페이지 인덱싱이 활성화되어 있고, 결과가 영향을 받는 표시 영역에 도달하는 공개적으로 쿼리 가능한 테이블에 의존했습니다. 익명 공격자는 피해자가 열었을 때 스크립트가 실행되는 요청을 준비할 수 있었습니다.

기록된 검증

원본 보고서에는 브레드크럼에서의 로컬 브라우저 실행과, 실행 가능한 요소 없이 렌더링된 일반적인 컨트롤이 기록되어 있습니다.

수정

업스트림 변경 사항은 표시되는 전체 텍스트 검색어를 브레드크럼에 추가하기 전에 이스케이프합니다.

개념 증명

python poc.py https://wiki.example TABLE SEARCH_TERM

테이블은 Cargo 전체 텍스트 페이지 인덱싱을 사용해야 하며, 제공된 검색어는 페이지 텍스트와 일치해야 합니다. 이 스크립트는 브레드크럼에 이스케이프되지 않은 무해한 마커가 포함되어 있는지 보고합니다.

참고 자료

• CVE 레코드
• 업스트림 수정
• 업스트림 추적 작업
• 블로그 글