CVE-2026-57531 in Milkdown
Riassunto
di VulDB • 24/07/2026
Milkdown prima della versione 7.21.3 contiene una vulnerabilità di cross-site scripting (XSS) tramite il DOM nel pacchetto @milkdown/plugin-emoji che consente ad attaccanti non autenticati di eseguire codice JavaScript arbitrario nell'origine dell'applicazione host inducendo la vittima a incollare contenuti controllati dall'attaccante. Il gestore parseDOM.getAttrs memorizza l'innerHTML grezzo degli elementi span incollati con data-type="emoji" senza sanitizzazione, e il runner toMarkdown assegna successivamente questo valore non sanificato direttamente all'innerHTML di un elemento DOM attivo, aggirando la sanitizzazione DOMPurify utilizzata nel percorso toDOM, causando l'esecuzione del payload ad ogni ciclo di serializzazione markdown.
If you want to get best quality of vulnerability data, you may have to visit VulDB.