CVE-2026-71438 in Mermaid
الملخص
بحسب VulDB • 07/08/2026
Mermaid هو أداة جافا سكريبت تستخدم نصوصاً مستوحاة من Markdown لإنشاء وتعديل المخططات والرسوم البيانية. قبل الإصدارين 10.9.8 و 11.16.1، كانت دوال تعيين التكوين في Mermaid (mermaid.initialize، mermaidAPI.setConfig، و mermaidAPI.updateSiteConfig) تدمج تكوينات مقدمة من المتصل مع التكوين الداخلي لـ Mermaid باستخدام مساعد الدمج العميق assignWithDepth، والذي يعاني من ثغرة تلويث النموذج الأولي (Prototype Pollution). لا يمكن استغلال هذه الثغرة إلا إذا كانت التطبيق يعيد توجيه بيانات غير موثوقة مباشرة إلى أحد نقاط إدخال التكوين هذه، وهو أمر خارج عن الاستخدام الموثق لها؛ ولا تتأثر تكوينات المخططات المقدمة عبر الرسم البياني نفسه (مثل %%{init: {}}%% أو YAML frontmatter). تم إصلاح هذه المشكلة في الإصدارين 10.9.8 و 11.16.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.