Podatności showdown
3 znanych podatności CVE w showdown, przetłumaczonych i ocenionych.
- CVE-2026-104477Średnie
Showdown do wersji 2.1.0 zawiera podatność XSS w podparserach linków i obrazów makehtml, które nie escapują podwójnych cudzysłowów w adresach URL umieszczanych w atrybutach href i src. Atakujący może stworzyć linki lub obrazy markdown zawierające podwójny cudzysłów, po którym następują handlery onerror lub onmouseover, aby wykonać skrypt, gdy ofiary przeglądają renderowany HTML.
- CVE-2026-59710Średnie
W bibliotece showdown wykryto podatność na trwałe cross-site scripting (XSS) w funkcji parseHeaders pliku src/subParsers/makehtml/tables.js. Funkcja ta nieprawidłowo escapuje atrybuty ID nagłówków tabel, co pozwala atakującym na wstrzyknięcie dowolnego kodu HTML i SVG za pomocą podwójnych cudzysłowów w nagłówkach tabel Markdown.
- CVE-2026-59711Średnie
Biblioteka showdown zawiera podatność na atak XSS w obsłudze tytułów metadanych. Gdy opcja completeHTMLDocument jest włączona, nieskapowane znaki < i > w metadanych frontmatter są wstawiane bezpośrednio do znaczników HTML title, co umożliwia atakującym wstrzyknięcie dowolnego kodu HTML i JavaScript.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS