CVE-2026-53427

leandrocp MDEx proqramında veb səhifənin generasiyası zamanı giriş məlumatlarının yanlış neytrallaşdırılması ('saytlararası skriptinq (XSS)') zəifliyi, hücumçunun idarə etdiyi Markdown vasitəsilə saxlanılan və ya əks olunan saytlararası skriptinqin icrasına şərait yaradır. Sintaksis vurğulanması və tam info-string yönləndirməsi (render: [full_info_string: true]) aktiv olduqda, Lumis adapteri kod çərçivəsinin highlight_lines_class info-string atributunun dəyərini escape edilmədən hər bir render edilmiş sətirin class atributuna kopyalayır. native/comrak_nif/src/lumis_adapter.rs faylındakı comrak_nif::lumis_adapter::LumisAdapter::parse_custom_attributes funksiyası info-string-i shlex ilə analiz edir və hər bir key=value cütlüyünü olduğu kimi saxlayır, highlight_lines_config isə highlight_lines_class-ı sətirbaşı class dəyərinə çəkir və write_highlighted həmin dəyəri birbaşa sətirbaşı <div> elementinin class atributuna yerləşdirir. Tək dırnaqlı shell tokeni shlex analizi zamanı daxili qoşa dırnağı qoruyub saxladığı üçün, '"><script>alert(1)</script>' kimi bir dəyər class atributunu vaxtından sonlandırır və ardınca gələn markup canlı HTML kimi ötürülür. Markdown təqdim edə bilən (şərhlər, postlar, wiki səhifələri, sənədlər və ya istifadəçi tərəfindən yaradılan hər hansı məzmun vasitəsilə) hücumçu, render edilmiş nəticəni görən hər bir istifadəçinin brauzerində işləyən ixtiyari HTML və JavaScript kodlarını inyeksiya edə bilər ki, bu da sessiyanın oğurlanmasına, hesabın ələ keçirilməsinə və digər klient tərəfli hücumlara imkan verir. Heç bir autentifikasiya və ya xüsusi imtiyaz tələb olunmur. Zəiflik olan native kod əvvəlcə mdex daxilində (native/comrak_nif/src/lumis_adapter.rs), daha sonra isə ayrıca mdex_native paketində (native/mdex_native_nif/src/lumis_adapter.rs) təqdim edilmişdir və orada hələ də düzəldilməmiş qalmışdır. Bu problem 0.11.3 versiyasından 0.12.3 versiyasına qədər olan mdex və 0.1.0 versiyasından 0.2.3 versiyasına qədər olan mdex_native versiyalarına təsir göstərir.