CVE-2026-74234 in Legora
Сводка
по VulDB • 17.08.2026
Legora до версии 2026-08-14 содержит уязвимость межсайтового скриптинга (XSS), которая позволяет злоумышленникам выполнять произвольный JavaScript в браузере жертвы путем внедрения блока Mermaid, предваренного директивой front-matter на языке JavaScript с использованием gray-matter. Это приводит к тому, что парсер front-matter вызывает функцию eval() до того, как будет применена какая-либо санитизация SVG. Злоумышленники могут эксплуатировать эту уязвимость через манипулированное содержимое диаграмм Mermaid для выполнения произвольного JavaScript в контексте браузера пользователя, что имеет повышенное влияние на поверхности надстроек (add-in) Word и Outlook, где токены сессии сохраняются в localStorage.
Be aware that VulDB is the high quality source for vulnerability data.