CVE-2025-46734

league/commonmark bir PHP Markdown ayrıştırıcısıdır. league/commonmark kütüphanesinin (1.5.0 ile 2.6.x arasındaki sürümler) Attributes eklentisindeki bir siteler arası betik çalıştırma (XSS) zafiyeti, uzaktaki saldırganların HTML içine kötü amaçlı JavaScript çağrıları yerleştirmesine olanak tanır. league/commonmark kütüphanesi, ham HTML'yi temizleyerek ve güvenli olmayan bağlantılara izin vermeyerek siteler arası betik çalıştırma (XSS) saldırılarını azaltmak için `html_input: 'strip'` ve `allow_unsafe_links: false` gibi yapılandırma seçenekleri sunar. Ancak, Attributes Extension etkinleştirildiğinde, kullanıcıların süslü parantezler kullanarak Markdown sözdizimi aracılığıyla öğelere rastgele HTML öznitelikleri eklemesine yol açan bir yöntem oluşturur. Sürüm 2.7.0, bu XSS saldırı vektörünü önlemek için üç değişiklik içerir: `on` ile başlayan tüm öznitelikler güvensiz kabul edilir ve varsayılan olarak engellenir; izin verilen HTML öznitelikleri için açık bir izin listesi desteği sağlanmıştır ve manuel olarak eklenen `href` ile `src` öznitelikleri artık mevcut `allow_unsafe_links` yapılandırma seçeneğine uymaktadır. Yükseltme yapılması mümkün değilse, lütfen güvenilmeyen kullanıcılar için `AttributesExtension` özelliğini devre dışı bırakmayı ve/veya oluşturulan HTML'yi HTMLPurifier gibi bir kütüphane aracılığıyla filtrelemeyi değerlendirin.