CVE-2026-57531

ŚrednieCVSS 5.4

Opublikowano: 24/07/2026(UTC)Zaktualizowano: 27/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.25%

Percentyl 16 - wyżej niż 16% wszystkich znanych CVE

Streszczenie

Milkdown przed wersją 7.21.3 zawiera podatność na DOM cross-site scripting w pakiecie @milkdown/plugin-emoji, która pozwala nieuwierzytelnionym atakującym na wykonanie dowolnego kodu JavaScript w kontekście aplikacji gospodarza poprzez nakłonienie ofiary do wklejenia treści kontrolowanej przez atakującego. Handler parseDOM.getAttrs przechowuje surowy innerHTML wklejonych elementów span z data-type="emoji" bez sanityzacji, a runner toMarkdown następnie przypisuje tę niesanityzowaną wartość bezpośrednio do innerHTML żywego elementu DOM, omijając sanityzację DOMPurify używaną w ścieżce toDOM, co powoduje wykonanie ładunku przy każdym cyklu serializacji markdown.

Ocena ryzyka

Atakujący może wykonać dowolny kod JavaScript w przeglądarce ofiary, co może prowadzić do kradzieży sesji, modyfikacji treści lub dalszych ataków na użytkowników aplikacji.

Rekomendacja

Należy zaktualizować Milkdown do wersji 7.21.3 lub nowszej, która naprawia tę podatność, oraz rozważyć dodatkową sanityzację danych wejściowych w funkcjonalności wklejania.

Inne podatności w Milkdown

CVE-2026-57530Średnie
Milkdown przed wersją 7.21.3 zawiera podatność na stored cross-site scripting w pakietach @milkdown/preset-commonmark i @milkdown/components, która pozwala atakującym z dostępem do zapisu dokumentu na wykonanie dowolnego kodu JavaScript w kontekście przeglądarki każdego użytkownika, który otworzy dokument lub kliknie wyrenderowany link. Runner parseMarkdown przechowuje surowe wartości URL z drzewa AST remark jako atrybuty href mark bez walidacji schematu URL, a nieskuteczne wywołanie DOMPurify.sanitize w edit-view.ts traktuje surowy URL jako węzeł tekstowy i zwraca go bez zmian, co pozwala na przedostanie się ładunków javascript: przez komponent podglądu link-tooltip i elementy kotwicy w trybie tylko do odczytu bez modyfikacji.

Oryginalny opis (angielski, źródło NVD)

Milkdown before 7.21.3 contains a DOM cross-site scripting vulnerability in the @milkdown/plugin-emoji package that allows unauthenticated attackers to execute arbitrary JavaScript in the host application's origin by causing a victim to paste attacker-controlled content. The parseDOM.getAttrs handler stores raw innerHTML of pasted span elements with data-type="emoji" without sanitization, and the toMarkdown runner subsequently assigns this unsanitized value directly to a live DOM element's innerHTML, bypassing the DOMPurify sanitization used in the toDOM path, causing payload execution on every markdown serialization cycle.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS