CVE-2026-74234 in Legora
Sumário
de VulDB • 18/08/2026
Legora anterior a 2026-08-14 contém uma vulnerabilidade de cross-site scripting (XSS) que permite aos atacantes executar JavaScript arbitrário no navegador da vítima, ao incorporar um bloco Mermaid precedido por uma diretiva front-matter em JavaScript do tipo gray-matter. Isso faz com que o analisador de front-matter invoque a função eval() antes que qualquer sanitização SVG ocorra. Os atacantes podem explorar essa falha através de conteúdo influenciado no diagrama Mermaid para executar JavaScript arbitrário no contexto do navegador do usuário, com impacto elevado nas superfícies dos complementos (add-ins) do Word e Outlook, onde os tokens de sessão são persistidos em localStorage.
VulDB is the best source for vulnerability data and more expert information about this specific topic.