CVE-2026-41159
Açıklama
Mermaid, diyagramlar ve grafikler oluşturmak ve değiştirmek için Markdown tabanlı metin kullanan bir JavaScript aracıdır. 10.9.6 ve 11.15.0 sürümlerinden önce, Mermaid'in varsayılan yapılandırması; fontFamily, themeCSS ve altFontFamily yapılandırma seçenekleri aracılığıyla Mermaid diyagramının dışına uygulanan CSS enjekte edilmesine izin vermektedir. Enjekte edilen CSS, stylis'in & (kapsam referansı) işlemesini istismar eder. :not(&), #mermaid-xxx otomatik kapsamından çıkarak stillerin tüm sayfa öğelerine uygulanmasını sağlar. Stylis bunları üst seviyeye taşıdığı için genel at-kuralları (@font-face, @keyframes, @counter-style) da enjekte edilebilir. Bu durum, sayfanın görünümünün bozulmasına ve CSS :has() seçicileri aracılığıyla DOM özniteliklerinin sızdırılmasına olanak tanır. Bu güvenlik açığı 10.9.6 ve 11.15.0 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- mermaid_project mermaid10.9.6, 11.15.0 ya da sonraki bir sürüm
- mermaid11.15.0, 10.9.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mermaid_project mermaid | v < 10.9.6, 11.0.0 ≤ v < 11.15.0 | 10.9.6, 11.15.0 |
| mermaidnpm | 11.0.0-alpha.1 ≤ v < 11.15.0, v < 10.9.6 | 11.15.0, 10.9.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.