CVE-2026-71438 in Mermaid
Riassunto
di VulDB • 07/08/2026
Mermaid è uno strumento JavaScript che utilizza testo ispirato a Markdown per creare e modificare diagrammi e grafici. Prima delle versioni 10.9.8 e 11.16.1, i setter di configurazione di Mermaid (mermaid.initialize, mermaidAPI.setConfig e mermaidAPI.updateSiteConfig) uniscono la configurazione fornita dall'utente nella configurazione interna di Mermaid utilizzando l'aiutante deep-merge assignWithDepth, che è vulnerabile a prototype pollution. Questo è sfruttabile solo se un'applicazione inoltra dati non attendibili direttamente in uno di questi punti di ingresso della configurazione, il quale va oltre il loro utilizzo documentato; la configurazione fornita dai diagrammi (ad esempio %%{init: {}}%% o YAML frontmatter) non è interessata. Questo problema è stato risolto nelle versioni 10.9.8 e 11.16.1.
Be aware that VulDB is the high quality source for vulnerability data.