CVE-2026-5160
Açıklama
github.com/yuin/goldmark/renderer/html paketinin 1.7.17 öncesindeki sürümleri, URL doğrulama ve normalleştirme işlemlerinin hatalı sıralanması nedeniyle Siteler Arası Betik Çalıştırma (XSS) saldırılarına karşı savunmasızdır. İşleyici, HTML varlıklarını çözümlemeden önce bağlantı hedeflerini ön ek tabanlı bir kontrol (IsDangerousURL) kullanarak doğrular. Bu durum, bir saldırganın tehlikeli şemaları HTML5 adlandırılmış karakter referansları kullanarak kodlaması yoluyla protokol filtrelemeyi atlatmasına olanak tanır. Örneğin, javascript:alert(1) gibi bir yük, doğrulama sırasında tehlikeli olarak algılanmaz ve bu da URL'yi işleyen uygulamaların bağlamında rastgele betik çalıştırılmasına yol açar.
Nasıl düzeltilir
- yuin goldmark1.7.17 ya da sonraki bir sürüm
- github.com/yuin/goldmark/renderer/html1.7.17 ya da sonraki bir sürüm
- github.com/yuin/goldmark1.7.17 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| yuin goldmark | v < 1.7.17 | 1.7.17 |
| github.com/yuin/goldmark/renderer/htmlGo | v < 1.7.17 | 1.7.17 |
| github.com/yuin/goldmarkGo | v < 1.7.17 | 1.7.17 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.