CVE-2026-30838
Açıklama
league/commonmark bir PHP Markdown ayrıştırıcısıdır. Versiyon 2.8.1 öncesinde, yasaklanmış bir HTML etiket adı ile kapatan > karakteri arasına yeni satır, sekme veya diğer ASCII boşluk karakterleri eklenerek DisallowedRawHtml uzantısı atlatılabilir. Örneğin, <script\n> ifadesi filtrelenmeden geçer ve tarayıcılar tarafından geçerli bir HTML etiketi olarak işlenir. Bu durum, güvenilmeyen kullanıcı girdilerini temizlemek için bu uzantılına güvenen tüm uygulamalar için bir siteler arası betik çalıştırma (XSS) vektörüdür. Güvenilmeyen markdown içeriklerini işlemek için DisallowedRawHtml uzantısını kullanan tüm uygulamalar etkilenmektedir. İşlenen çıktı üzerinde özel bir HTML temizleyici (HTML Purifier gibi) kullanan uygulamalar etkilenmemektedir. Bu sorun versiyon 2.8.1 ile düzeltilmiştir.
Nasıl düzeltilir
- thephpleague commonmark2.8.1 ya da sonraki bir sürüm
- league/commonmark2.8.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| thephpleague commonmark | v < 2.8.1 | 2.8.1 |
| league/commonmarkPackagist | 2.0.0 ≤ v < 2.8.1 | 2.8.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.