CVE-2026-57531 in Milkdown
요약
\~에 의해 VulDB • 2026. 07. 24.
7.21.3 미만의 Milkdown에는 @milkdown/plugin-emoji 패키지에 대한 DOM 기반 크로스 사이트 스크립팅(XSS) 취약점이 포함되어 있습니다. 이 취약점은 공격자가 제어하는 콘텐츠를 피해자에게 붙여넣게 함으로써 인증되지 않은 공격자가 호스트 애플리케이션의 출처에서 임의의 JavaScript를 실행할 수 있게 합니다. parseDOM.getAttrs 핸들러는 data-type="emoji" 속성을 가진 span 요소들의 원본 innerHTML을 무차별적으로 저장하며, 이후 toMarkdown 러너가 이 비검증 값을 직접 살아있는 DOM 요소의 innerHTML에 할당합니다. 이는 toDOM 경로에서 사용되는 DOMPurify 검증을 우회하여, 매번 Markdown 직렬화 주기마다 페이로드 실행을 유발합니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.