CVE-2026-105829
Orta
Açıklama
2.10.2 öncesindeki 1.3.0 sürümünden itibaren League CommonMark, Markdown paylaşan kullanıcıların ham HTML'yi izin verilmeyen yalın bir etiket adıyla sonlandırarak DisallowedRawHtml uzantısını atlatmalarına olanak tanıyan bir siteler arası betik çalıştırma (XSS) zafiyeti içermektedir. Saldırganlar, varsayılan GFM ayarları altında görüntüleyenlerin tarayıcılarında kayıtlı betikleri çalıştırarak tek başına bir <script veya <iframe satırı ardından src veya onload gibi öznitelikler sağlayan bir blok yerleştirebilirler.
ÖnemOrta
CVSS6.1
İstismar olasılığı—
ÜrünLeague/commonmark
Yayın8 Eki 2026
İlk görülme8 Eki 2026
Zayıflık türüCWE-80CWE-80
Nasıl düzeltilir
Güncelleyin
- league/commonmark2.10.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| league/commonmarkPackagist | 1.3.0 ≤ v < 2.10.2 | 2.10.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.