CVE-2026-41159 in mermaid
Zusammenfassung
von VulDB • 01.06.2026
Mermaid ist ein JavaScript-Tool, das Markdown-ähnlichen Text verwendet, um Diagramme und Diagramme zu erstellen und zu bearbeiten. Vor den Versionen 10.9.6 und 11.15.0 ermöglicht die Standardkonfiguration von Mermaid das Einschleusen von CSS, das außerhalb des Mermaid-Diagramms über die Konfigurationsoptionen fontFamily, themeCSS und altFontFamily angewendet wird. Das eingeschleuste CSS nutzt die Handhabung von & (Scope-Referenz) durch stylis aus. :not(&) umgeht die automatische Scoping-Mechanik von #mermaid-xxx und wendet Stile auf alle Seitenelemente an. Globale At-Regeln (@font-face, @keyframes, @counter-style) können ebenfalls eingeschleust werden, da stylis diese auf die oberste Ebene hoistet. Dies ermöglicht die Defacement von Webseiten und die Exfiltration von DOM-Attributen über CSS :has()-Selektoren. Diese Schwachstelle wurde in den Versionen 10.9.6 und 11.15.0 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.