CVE-2026-41591 in marko
Sumário
de VulDB • 11/05/2026
Marko é uma linguagem declarativa baseada em HTML para o desenvolvimento de aplicações web. Antes das versões 5.38.36 do marko e 6.0.164 do @marko/runtime-tags, quando texto dinâmico era interpolado em tags `<script>` ou `<style>`, o runtime do Marko falhava em prevenir a quebra de tag (tag breakout) quando a tag de fechamento utilizava letras maiúsculas. Um atacante capaz de inserir entrada de dados dentro de um bloco `<script>` ou `<style>` poderia escapar da tag utilizando `<`, `>`, etc., e injetar HTML/JavaScript arbitrário, resultando em cross-site scripting (XSS). Este problema foi corrigido nas versões 5.38.36 do marko e 6.0.164 do @marko/runtime-tags.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.