CVE-2026-78071

DPCalendar Free의 위치 제목을 통한 저장형 XSS DPCalendar Free ≤ 10.11.2 — 작성자 권한 사용자가 콘텐츠 검토를 우회하여 위치 제목을 통해 지속형 XSS를 주입, 모든 방문자의 마우스 호버 시 트리거 -orange 요약 $location-title 필드는 defaultlocations.php에서 htmlspecialchars 없이 렌더링됩니다. Joomla의 서버 측 InputFilter::clean은 문자열 필드에서 와 를 제거하지만 는 허용하므로, 작성자Author 권한 사용자가 HTML...