CVE-2026-59710
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
W bibliotece showdown wykryto podatność na trwałe cross-site scripting (XSS) w funkcji parseHeaders pliku src/subParsers/makehtml/tables.js. Funkcja ta nieprawidłowo escapuje atrybuty ID nagłówków tabel, co pozwala atakującym na wstrzyknięcie dowolnego kodu HTML i SVG za pomocą podwójnych cudzysłowów w nagłówkach tabel Markdown.
Ocena ryzyka
Ryzyko polega na tym, że osoba atakująca może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary podczas renderowania niezaufanego Markdown z domyślną konfiguracją GitHub. Może to prowadzić do kradzieży sesji, przejęcia konta lub wycieku danych.
Rekomendacja
Należy natychmiast zaktualizować bibliotekę showdown do najnowszej wersji, która zawiera poprawkę dla CVE-2026-59710. Jeśli aktualizacja nie jest możliwa, należy unikać renderowania niezaufanego Markdown z domyślną konfiguracją GitHub.
Oryginalny opis (angielski, źródło NVD)
showdown contains a stored cross-site scripting vulnerability in the parseHeaders function of src/subParsers/makehtml/tables.js that fails to properly escape table header ID attributes. Attackers can inject arbitrary HTML and script-executing SVG elements through double-quote characters in markdown table headers, achieving stored XSS when untrusted markdown is rendered with the default github flavor configuration.