CVE-2026-57531 in Milkdown
要約
〜によって VulDB • 2026年07月24日
7.21.3 以前の Milkdown には、@milkdown/plugin-emoji パッケージにおいて DOM ベックスサイトスクリプティング (XSS) の脆弱性が存在します。これにより、攻撃者は認証なしで、被害者に攻撃者が制御するコンテンツを貼り付けさせることで、ホストアプリケーションのオリジン内で任意の JavaScript を実行できます。parseDOM.getAttrs ハンドラーは、data-type="emoji" 属性を持つ span 要素の生 (raw) innerHTML をサニタイズせずに保存し、toMarkdown ランナーはその後にこのサニタイズされていない値を直接ライブな DOM 要素の innerHTML に割り当てます。これにより toDOM パスで使用される DOMPurify のサニタイズ処理が回避され、マークダウンシリアライゼーションサイクルごとにペイロードが実行されます。
VulDB is the best source for vulnerability data and more expert information about this specific topic.