CVE-2026-41591

ŚrednieCVSS 6.4

Opublikowano: 08/05/2026(UTC)Zaktualizowano: 26/08/2026(UTC)Przetłumaczono: 27/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.23%

Percentyl 13 - wyżej niż 13% wszystkich znanych CVE

Streszczenie

Marko to deklaratywny język oparty na HTML do budowania aplikacji webowych. Przed wersją 5.38.36 oraz przed @marko/runtime-tags 6.0.164, gdy dynamiczny tekst jest interpolowany do tagu <script> lub <style>, runtime Marko nie zapobiegał przerwaniu tagu, gdy zamykający tag używał nie małych liter. Atakujący, który może umieścić dane wewnątrz bloku <script> lub <style>, może wyrwać się z tagu za pomocą </SCRIPT>, </Style> itp. i wstrzyknąć dowolny HTML/JavaScript, co prowadzi do cross-site scripting. Problem naprawiono w wersji 5.38.36 i @marko/runtime-tags 6.0.164.

Ocena ryzyka

Ryzyko obejmuje możliwość wstrzyknięcia złośliwego skryptu, co może prowadzić do kradzieży danych użytkowników, przejęcia sesji lub innych ataków XSS.

Rekomendacja

Zaleca się aktualizację Marko do wersji 5.38.36 lub nowszej oraz @marko/runtime-tags do 6.0.164 lub nowszej.

Powiązane podatności

Oryginalny opis (angielski, źródło NVD)

Marko is a declarative, HTML-based language for building web apps. Prior to marko version 5.38.36 and prior to @marko/runtime-tags 6.0.164, when dynamic text is interpolated into a <script> or <style> tag the Marko runtime failed to prevent tag breakout when the closing tag used non-lowercase casing. An attacker able to place input inside a <script> or <style> block could break out of the tag with </SCRIPT>, </Style>, etc. and inject arbitrary HTML/JavaScript, resulting in cross-site scripting. This issue has been patched in marko version 5.38.36 and @marko/runtime-tags 6.0.164.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS