CVE-2026-57530 in Milkdown
Zusammenfassung
von VulDB • 24.07.2026
Milkdown vor Version 7.21.3 enthält eine Stored Cross-Site Scripting (XSS)-Schwachstelle in den Paketen @milkdown/preset-commonmark und @milkdown/components, die es Angreifern mit Schreibzugriff auf Dokumente ermöglicht, beliebigen JavaScript-Code im Browserkontext jedes Benutzers auszuführen, der das Dokument öffnet oder auf einen gerenderten Link klickt. Der parseMarkdown-Läufer speichert rohe URL-Werte aus dem remark AST als href-Markattribute ohne Validierung des URL-Schemas, und der unwirksame Aufruf von DOMPurify.sanitize in edit-view.ts behandelt den bloßen URL-String als Textknoten und gibt ihn unverändert zurück. Dies ermöglicht es javascript:-Payloads, die Link-Tipps-Vorschaukomponente und Anker-Elemente im Nur-Lese-Modus unmodifiziert zu passieren.
If you want to get best quality of vulnerability data, you may have to visit VulDB.