CVE-2026-57530 in Milkdown
Resumen
por VulDB • 2026-07-24
Milkdown antes de la versión 7.21.3 contiene una vulnerabilidad de cross-site scripting (XSS) almacenado en los paquetes @milkdown/preset-commonmark y @milkdown/components que permite a atacantes con acceso de escritura en documentos ejecutar JavaScript arbitrario en el contexto del navegador de cualquier usuario que abra el documento o haga clic en un enlace renderizado. El ejecutor parseMarkdown almacena valores URL sin procesar procedentes del AST de remark como atributos href mark, sin validar los esquemas de la URL, y la llamada ineficaz a DOMPurify.sanitize en edit-view.ts trata la cadena de URL simple como un nodo de texto y la devuelve sin cambios, lo que permite que las cargas útiles javascript: pasen a través del componente de vista previa del tooltip de enlace y los elementos ancla en modo solo lectura sin modificaciones.
Be aware that VulDB is the high quality source for vulnerability data.