CVE-2026-104477
ŚrednieCVSS 6.1Streszczenie
Showdown do wersji 2.1.0 zawiera podatność XSS w podparserach linków i obrazów makehtml, które nie escapują podwójnych cudzysłowów w adresach URL umieszczanych w atrybutach href i src. Atakujący może stworzyć linki lub obrazy markdown zawierające podwójny cudzysłów, po którym następują handlery onerror lub onmouseover, aby wykonać skrypt, gdy ofiary przeglądają renderowany HTML.
Ocena ryzyka
Atakujący może wykonać dowolny JavaScript w przeglądarce ofiary, co może prowadzić do kradzieży danych uwierzytelniających lub innych działań. Wpływa to na każdą aplikację używającą Showdown do renderowania markdown.
Rekomendacja
Zaktualizuj Showdown do wersji nowszej niż 2.1.0. Jeśli aktualizacja nie jest możliwa, rozważ sanityzację danych wejściowych markdown.
Inne podatności w Showdown
Zobacz wszystkie- CVE-2026-59710Średnie
W bibliotece showdown wykryto podatność na trwałe cross-site scripting (XSS) w funkcji parseHeaders pliku src/subParsers/makehtml/tables.js. Funkcja ta nieprawidłowo escapuje atrybuty ID nagłówków tabel, co pozwala atakującym na wstrzyknięcie dowolnego kodu HTML i SVG za pomocą podwójnych cudzysłowów w nagłówkach tabel Markdown.
- CVE-2026-59711Średnie
Biblioteka showdown zawiera podatność na atak XSS w obsłudze tytułów metadanych. Gdy opcja completeHTMLDocument jest włączona, nieskapowane znaki < i > w metadanych frontmatter są wstawiane bezpośrednio do znaczników HTML title, co umożliwia atakującym wstrzyknięcie dowolnego kodu HTML i JavaScript.
Oryginalny opis (angielski, źródło NVD)
Showdown through 2.1.0 contains a cross-site scripting vulnerability in the makehtml link and image subparsers, which fail to escape double quotes in destination URLs placed into href and src attributes. Attackers can craft markdown links or images containing a double quote followed by onerror or onmouseover handlers to execute script when victims view rendered HTML.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS