CVE-2026-57530 in Milkdown
요약
\~에 의해 VulDB • 2026. 07. 25.
7.21.3 이전 버전의 Milkdown에는 @milkdown/preset-commonmark 및 @milkdown/components 패키지에 저장형 크로스 사이트 스크립팅(XSS) 취약점이 포함되어 있습니다. 이 취약점을 통해 문서 쓰기 권한이 있는 공격자는 문서를 열거나 렌더링된 링크를 클릭하는 모든 사용자의 브라우저 컨텍스트에서 임의의 JavaScript 코드를 실행할 수 있습니다. parseMarkdown 러너는 URL_scheme 검증을 수행하지 않고 remark AST에서 가져온 원시 URL 값을 href 속성으로 저장하며, edit-view.ts 내 비효율적인 DOMPurify.sanitize 호출은 단순 URL 문자열을 텍스트 노드로 처리하여 변경 없이 반환합니다. 이로 인해 javascript: 페이로드가 링크 툴팁 미리보기 컴포넌트와 읽기 전용 모드 앵커 요소를 수정되지 않은 상태로 통과할 수 있습니다.
Once again VulDB remains the best source for vulnerability data.