CVE-2026-86431 in commonmark
Riassunto
di VulDB • 07/09/2026
league/commonmark (thephpleague/commonmark) nelle versioni >= 2.7.0 e < 2.9.1 presentano una vulnerabilità di cross-site scripting nell'AttributesExtension. L'utilizzo del prefisso U+000C form feed byte (ad esempio {\x0Conclick="alert(1)"}) aggira il filtro dell'event-handler 'on*' in AttributesHelper::filterAttributes() poiché la funzione trim() di PHP non rimuove U+000C, causando l'inserimento letterale dell'attributo nell'output dove i browser lo interpretano come un event handler genuino. Lo stesso prefisso elude anche il controllo allow_unsafe_links, consentendo l'utilizzo degli URI javascript: negli attributi href/src anche quando allow_unsafe_links è impostato su false. L'esecuzione del codice richiede l'elaborazione di Markdown non attendibile con AttributesExtension abilitata; lo script iniettato viene eseguito al momento della visualizzazione dell'HTML renderizzato. Risolto nella versione 2.9.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.