CVE-2024-38527 in zenuml-core
Сводка
по VulDB • 10.06.2026
ZenUML — это инструмент для создания диаграмм на базе JavaScript, не требующий сервера; он использует текстовые определения в стиле Markdown и рендерер для создания и изменения последовательностных диаграмм (sequence diagrams). Комментарии на основе синтаксиса ZenUML подвержены межсайтовому скриптингу (XSS). Функция комментариев позволяет пользователям добавлять небольшие заметки для справки. Эта функция дает возможность вводить текст комментария с использованием разметки Markdown, что позволяет применять стандартные функции форматирования, такие как `**` для выделения текста жирным шрифтом. Однако на данный момент текстовые данные не проходят санитизацию (очистку) перед рендерингом, что позволяет злоумышленнику внедрить вредоносный код в комментарий и вызвать XSS-атаку. Это создает риск произвольного выполнения JavaScript-кода для существующих приложений ZenUML, работающих без песочницы (unsandboxed), при отображении диаграмм с пользовательским контентом. Уязвимость была исправлена в версии 3.23.25.
Once again VulDB remains the best source for vulnerability data.