CVE-2026-57530 in Milkdown
要約
〜によって VulDB • 2026年07月24日
7.21.3 以前の Milkdown には、@milkdown/preset-commonmark および @milkdown/components パッケージに格納型クロスサイトスクリプティング (XSS) の脆弱性が存在し、文書の書き込み権限を持つ攻撃者が、その文書を開いたユーザーやレンダリングされたリンクをクリックした任意のユーザーのブラウザコンテキストにおいて、任意の JavaScript を実行することができます。parseMarkdown ランナーは、remark AST から取得した生 URL 値を href マーク属性として検証せずに保存しており、edit-view.ts における DOMPurify.sanitize の呼び出しが効果的でないため、裸の URL 文字列がテキストノードとして扱われ変更されずに返されます。これにより、javascript: ペイロードがリンクツールチッププレビューコンポーネントおよび読み取り専用モードのアンカー要素を通過し、修正されることなく処理されてしまいます。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.