CVE-2026-57530

ŚrednieCVSS 5.4

Opublikowano: 24/07/2026(UTC)Zaktualizowano: 27/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.18%

Percentyl 8 - wyżej niż 8% wszystkich znanych CVE

Streszczenie

Milkdown przed wersją 7.21.3 zawiera podatność na stored cross-site scripting w pakietach @milkdown/preset-commonmark i @milkdown/components, która pozwala atakującym z dostępem do zapisu dokumentu na wykonanie dowolnego kodu JavaScript w kontekście przeglądarki każdego użytkownika, który otworzy dokument lub kliknie wyrenderowany link. Runner parseMarkdown przechowuje surowe wartości URL z drzewa AST remark jako atrybuty href mark bez walidacji schematu URL, a nieskuteczne wywołanie DOMPurify.sanitize w edit-view.ts traktuje surowy URL jako węzeł tekstowy i zwraca go bez zmian, co pozwala na przedostanie się ładunków javascript: przez komponent podglądu link-tooltip i elementy kotwicy w trybie tylko do odczytu bez modyfikacji.

Ocena ryzyka

Atakujący może wstrzyknąć złośliwy kod JavaScript do dokumentu, który zostanie wykonany w przeglądarkach innych użytkowników, co może prowadzić do kradzieży danych, przejęcia sesji lub dalszych ataków.

Rekomendacja

Należy zaktualizować Milkdown do wersji 7.21.3 lub nowszej, która naprawia tę podatność, oraz wdrożyć walidację schematu URL dla wszystkich linków w dokumentach.

Inne podatności w Milkdown

CVE-2026-57531Średnie
Milkdown przed wersją 7.21.3 zawiera podatność na DOM cross-site scripting w pakiecie @milkdown/plugin-emoji, która pozwala nieuwierzytelnionym atakującym na wykonanie dowolnego kodu JavaScript w kontekście aplikacji gospodarza poprzez nakłonienie ofiary do wklejenia treści kontrolowanej przez atakującego. Handler parseDOM.getAttrs przechowuje surowy innerHTML wklejonych elementów span z data-type="emoji" bez sanityzacji, a runner toMarkdown następnie przypisuje tę niesanityzowaną wartość bezpośrednio do innerHTML żywego elementu DOM, omijając sanityzację DOMPurify używaną w ścieżce toDOM, co powoduje wykonanie ładunku przy każdym cyklu serializacji markdown.

Oryginalny opis (angielski, źródło NVD)

Milkdown before 7.21.3 contains a stored cross-site scripting vulnerability in the @milkdown/preset-commonmark and @milkdown/components packages that allows attackers with document write access to execute arbitrary JavaScript in the browser context of any user who opens the document or clicks a rendered link. The parseMarkdown runner stores raw URL values from the remark AST as href mark attributes without URL scheme validation, and the ineffective DOMPurify.sanitize call in edit-view.ts treats the bare URL string as a text node and returns it unchanged, allowing javascript: payloads to pass through the link-tooltip preview component and read-only mode anchor elements unmodified.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS