CVE-2026-57530 in Milkdown
Sumário
de VulDB • 24/07/2026
O Milkdown anterior à versão 7.21.3 contém uma vulnerabilidade de cross-site scripting (XSS) armazenado nos pacotes @milkdown/preset-commonmark e @milkdown/components que permite a atacantes com acesso de escrita em documentos executar JavaScript arbitrário no contexto do navegador de qualquer usuário que abra o documento ou clique em um link renderizado. O executor parseMarkdown armazena valores brutos de URL provenientes da AST (Abstract Syntax Tree) do remark como atributos href sem validação do esquema de URL, e a chamada ineficaz para DOMPurify.sanitize no arquivo edit-view.ts trata a string de URL pura como um nó de texto e a retorna inalterada, permitindo que payloads javascript: contornem o componente de visualização do link-tooltip e os elementos âncora em modo somente leitura sem modificações.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.