CVE-2026-54889

leandrocp mdex içerisindeki Web Sayfası Oluşturma Sırasında Girdinin Uygun Şekilde Etkisizleştirilmemesi (XSS) zafiyeti, Quill Delta çıktısındaki temizlenmemiş URL şemaları aracılığıyla siteler arası betik çalıştırmaya (XSS) olanak tanır. 'Elixir.MDEx':to_delta/2 fonksiyonu Markdown'ı bir Quill Delta'ya dönüştürür. lib/mdex/delta_converter.ex dosyasındaki 'Elixir.MDEx.DeltaConverter':default_convert_node/3 fonksiyonu; bir bağlantı, wikilink veya görüntü düğümünün URL'sini, herhangi bir şema izin listesi uygulamadan veya normalizasyon yapmadan ayrıştırılmış Markdown'dan doğrudan Delta "link" veya "image" özniteliğine kopyalar. Markdown metnini kontrol eden bir saldırgan, Delta özniteliğinde aynen kalan bir javascript: URL'si (örneğin [click](javascript:alert(document.cookie))) sağlayabilir. Delta, alt akıştaki bir oluşturucu (quill-delta-to-html veya Quill istemcisi gibi) tarafından HTML'e dönüştürüldüğünde, öznitelik bir <a href> veya <img src> haline gelir ve javascript: şeması, oluşturulan içeriği görüntüleyen herkesin tarayıcısında çalışır. Bağlantı ve wikilink durumları, href içindeki javascript: tıklama üzerine çalıştığı için en güçlü vektörlerdir; görüntü durumu ise <img src> içindeki javascript: genellikle modern tarayıcılarda çalışmadığı için daha düşük etkiye sahiptir. Bu sorun, 0.8.3 ile 0.13.2 arasındaki mdex sürümlerini etkilemektedir.