CVE-2026-59710
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
W bibliotece showdown wykryto podatność na trwałe cross-site scripting (XSS) w funkcji parseHeaders pliku src/subParsers/makehtml/tables.js. Funkcja ta nieprawidłowo escapuje atrybuty ID nagłówków tabel, co pozwala atakującym na wstrzyknięcie dowolnego kodu HTML i SVG za pomocą podwójnych cudzysłowów w nagłówkach tabel Markdown.
Ocena ryzyka
Ryzyko polega na tym, że osoba atakująca może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary podczas renderowania niezaufanego Markdown z domyślną konfiguracją GitHub. Może to prowadzić do kradzieży sesji, przejęcia konta lub wycieku danych.
Rekomendacja
Należy natychmiast zaktualizować bibliotekę showdown do najnowszej wersji, która zawiera poprawkę dla CVE-2026-59710. Jeśli aktualizacja nie jest możliwa, należy unikać renderowania niezaufanego Markdown z domyślną konfiguracją GitHub.
Inne podatności w showdown
Zobacz wszystkie- CVE-2026-104477Średnie
Showdown do wersji 2.1.0 zawiera podatność XSS w podparserach linków i obrazów makehtml, które nie escapują podwójnych cudzysłowów w adresach URL umieszczanych w atrybutach href i src. Atakujący może stworzyć linki lub obrazy markdown zawierające podwójny cudzysłów, po którym następują handlery onerror lub onmouseover, aby wykonać skrypt, gdy ofiary przeglądają renderowany HTML.
- CVE-2026-59711Średnie
Biblioteka showdown zawiera podatność na atak XSS w obsłudze tytułów metadanych. Gdy opcja completeHTMLDocument jest włączona, nieskapowane znaki < i > w metadanych frontmatter są wstawiane bezpośrednio do znaczników HTML title, co umożliwia atakującym wstrzyknięcie dowolnego kodu HTML i JavaScript.
Oryginalny opis (angielski, źródło NVD)
showdown contains a stored cross-site scripting vulnerability in the parseHeaders function of src/subParsers/makehtml/tables.js that fails to properly escape table header ID attributes. Attackers can inject arbitrary HTML and script-executing SVG elements through double-quote characters in markdown table headers, achieving stored XSS when untrusted markdown is rendered with the default github flavor configuration.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS