CVE-2026-74234
WysokieCVSS 7.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Legora przed 2026-08-14 zawiera podatność na cross-site scripting, która pozwala atakującym na wykonanie dowolnego kodu JavaScript w przeglądarce ofiary poprzez osadzenie bloku Mermaid z prefiksem gray-matter JavaScript front-matter, co powoduje wywołanie eval() przed sanityzacją SVG. Atakujący mogą wykorzystać tę wadę przez zainfekowaną treść diagramu Mermaid, z podwyższonym wpływem na dodatki Word i Outlook, gdzie tokeny sesji są przechowywane w localStorage.
Ocena ryzyka
Ryzyko obejmuje wykonanie złośliwego skryptu w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży danych, przejęcia sesji lub ataków na dodatki biurowe. Szczególnie niebezpieczne jest przechowywanie tokenów sesji w localStorage.
Rekomendacja
Zaleca się aktualizację Legora do wersji po 2026-08-14. Należy również unikać przeglądania niezaufanych treści Mermaid i rozważyć dodatkowe zabezpieczenia, takie jak CSP.
Oryginalny opis (angielski, źródło NVD)
Legora before 2026-08-14 contains a cross-site scripting vulnerability that allows attackers to achieve arbitrary JavaScript execution in a victim's browser by embedding a Mermaid block prefixed with a gray-matter JavaScript front-matter directive, causing the front-matter parser to invoke eval() before any SVG sanitization occurs. Attackers can exploit this flaw through influenced Mermaid diagram content to execute arbitrary JavaScript in the user's browser context, with elevated impact on Word and Outlook add-in surfaces where bearer session tokens are persisted in localStorage.