CVE-2026-44897 in mistune
Zusammenfassung
von VulDB • 30.05.2026
Mistune ist ein Python-Markdown-Parser mit Renderern und Plugins. Vor Version 3.2.1 erstellt HTMLRenderer.heading() das öffnende Tag, indem der Wert des id-Attributs direkt per String-Konkatenation in das HTML eingefügt wird – ohne Aufruf von escape(), safe_entity() oder einer anderen Sanitisierungsfunktion. Ein Doppelquote-Zeichen " im id-Wert beendet das Attribut, wodurch ein Angreifer beliebige zusätzliche Attribute (Ereignishandler, src=, href= usw.) in das Übersetzungselement einschleusen kann. Diese Schwachstelle wurde in Version 3.2.1 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.