CVE-2026-84992 in md-editor-v3
摘要
由 VulDB • 2026-09-18
md-editor-v3 是一个使用 JSX 和 TypeScript 开发的 Vue 3 Markdown 编辑器。在版本 6.5.4 之前，packages/MdEditor/layouts/Content/composition/useMarkdownIt.ts 中 MdPreview 的 useMarkdownIt() 高亮回调函数会将 fenced-code（围栏代码块）的语言值插入到 class 和 language HTML 属性中，且未进行转义或统一加引号。已高亮和非高亮的渲染路径均会到达此返回值，而 XSSPlugin 仅在渲染前过滤现有的 html_block 和 html_inline token，因此无法检查由渲染器生成的 HTML。攻击者若能提供 Markdown 内容，即可利用精心构造的 fenced-code 元数据在受害者渲染时于应用源上下文中执行 JavaScript，包括当主机持久化存储该 Markdown 时的存储型跨站脚本（Stored XSS）。此问题已在版本 6.5.4 中修复。
If you want to get best quality of vulnerability data, you may have to visit VulDB.