CVE-2026-41148

Mermaid, diaqramlar və sxemlər yaratmaq və dəyişdirmək üçün Markdown-dan ilhamlanmış mətndən istifadə edən bir JavaScript alətidir. Versiya 10.9.5 və daha əvvəlki versiyalar, həmçinin 11.0.0-alpha.1-dən 11.12.0-a qədər olan versiyalar düzgün olmayan təmizləmə (sanitization) səbəbindən CSS injection zəifliyinə malikdir. State diaqramı (və istifadəçi tərəfindən idarə olunan stil sətirlərini createCssStyles parser-indən keçirən digər bütün diaqram növləri), yeni sətirə qədər hər şeyi uyğunlaşdıran məhdudiyyətsiz regex vasitəsilə classDef dəyərlərini götürür. Daha sonra həmin dəyər təmizlənmədən addStyleClass() funksiyasından createCssStyles() funksiyasına ötürülür və style.innerHTML-ə təyin edilir; beləliklə, dəyərdəki bağlayıcı mötərizə (}) generasiya edilmiş CSS selektorunu sonlandırır və ondan sonrakı hər şeyi səhifədə yeni bir CSS qaydasına çevirir. Bu, səhifənin görünüşünün pozulmasına (defacement), url() callback-ləri vasitəsilə istifadəçilərin izlənilməsinə və DOM atributlarının sızdırılmasına imkan verir. Bu problem 10.9.6 və 11.15.0 versiyalarında aradan qaldırılıb. Tərtibatçılar dərhal yeniləmə edə bilmirlərsə, "securityLevel": "sandbox" parametrini təyin etməklə bu problemi keçici olaraq həll edə bilərlər ki, bu da mermaid diaqramının sandboxed <iframe>-də render edilməsini təmin edərək problemin qarşısını alır.