CVE-2026-71438

Mermaid, diaqramlar və sxemlər yaratmaq və dəyişdirmək üçün Markdown-dan ilhamlanmış mətndən istifadə edən bir JavaScript alətidir. 10.9.8 və 11.16.1 versiyalarından əvvəl Mermaid-in konfiqurasiya təyinediciləri (mermaid.initialize, mermaidAPI.setConfig və mermaidAPI.updateSiteConfig), çağırıcı tərəfindən təmin edilən konfiqurasiyanı assignWithDepth dərin birləşdirmə köməkçisi vasitəsilə Mermaid-in daxili konfiqurasiyasına birləşdirir ki, bu da prototip çirklənməsinə (prototype pollution) qarşı həssasdır. Bu, yalnız tətbiqin etibarsız məlumatları birbaşa bu konfiqurasiya giriş nöqtələrindən birinə ötürməsi halında istismar edilə bilər ki, bu da onların sənədləşdirilmiş istifadəsindən kənardır; diaqram tərəfindən təmin edilən konfiqurasiyalara (məsələn, %%{init: {}}%% və ya YAML frontmatter) təsir etmir. Bu problem 10.9.8 və 11.16.1 versiyalarında düzəldilib.