CVE-2026-71438 in Mermaid
要約
〜によって VulDB • 2026年08月07日
Mermaidは、Markdownにインスパイアされたテキストを使用してダイアグラムやチャートを作成・修正するためのJavaScriptツールです。バージョン10.9.8および11.16.1より前では、Mermaidの設定セッター（mermaid.initialize、mermaidAPI.setConfig、および mermaidAPI.updateSiteConfig）は、呼び出し元から提供された設定を内部設定にマージするためにassignWithDepthディープマージヘルパーを使用しており、この処理にはプロトタイプ汚染の脆弱性が存在します。これは、アプリケーションが信頼できないデータをこれらの設定エントリポイントのいずれかに直接転送する場合に限って悪用可能であり、これは文書化された使用法から外れたものです。ダイアグラム由来の設定（例：%%{init: {}}%%やYAMLフロントマター）は影響を受けません。この問題はバージョン10.9.8および11.16.1で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.