CVE-2026-41159
Təsvir
Mermaid, diaqramlar və sxemlər yaratmaq və dəyişdirmək üçün Markdown-dan ilhamlanmış mətndən istifadə edən bir JavaScript alətidir. 10.9.6 və 11.15.0 versiyalarından əvvəl Mermaid-in standart konfiqurasiyası fontFamily, themeCSS və altFontFamily konfiqurasiya seçimləri vasitəsilə Mermaid diaqramının xaricində tətbiq olunan CSS-in inyeksiya edilməsinə şərait yaradır. İnyeksiya edilmiş CSS, stylis-in & (scope reference) emalından istifadə edir. :not(&) ifadəsi #mermaid-xxx avtomatik scope-undan çıxaraq stilləri səhifənin bütün elementlərinə tətbiq edir. Stylis onları ən üst səviyyəyə qaldırdığı üçün qlobal at-rules (@font-face, @keyframes, @counter-style) qaydaları da inyeksiya edilə biləndir. Bu, səhifənin görünüşünün korlanmasına (defacement) və CSS :has() selektorları vasitəsilə DOM atributlarının sızdırılmasına imkan verir. Bu zəiflik 10.9.6 və 11.15.0 versiyalarında aradan qaldırılıb.
Necə düzəltmək olar
- mermaid_project mermaid10.9.6, 11.15.0 və ya daha yeni versiya
- mermaid11.15.0, 10.9.6 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| mermaid_project mermaid | v < 10.9.6, 11.0.0 ≤ v < 11.15.0 | 10.9.6, 11.15.0 |
| mermaidnpm | 11.0.0-alpha.1 ≤ v < 11.15.0, v < 10.9.6 | 11.15.0, 10.9.6 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.