CVE-2026-84992

md-editor-v3, JSX ve TypeScript ile geliştirilmiş Vue 3 için bir Markdown editörüdür. 6.5.4 sürümünden önce, MdPreview'in packages/MdEditor/layouts/Content/composition/useMarkdownIt.ts dosyasındaki useMarkdownIt() highlight geri çağırma işlemi, çitlenmiş kod (fenced-code) dil değerini kaçış karakterleri kullanmadan veya tutarlı şekilde tırnak içine almadan class ve language HTML özniteliklerine eklemektedir. Hem vurgulanmış hem de vurgulanmamış işleme yolları bu dönüş değerine ulaşırken, XSSPlugin yalnızca mevcut html_block ve html_inline belirteçlerini işlemeden önce filtreler ve bu nedenle oluşturucu tarafından üretilen HTML'i denetleyemez. Markdown sağlayabilen bir saldırgan, kurban bunu işlediğinde uygulama kökeninde JavaScript yürütmek için özel olarak hazırlanmış çitlenmiş kod meta verilerini kullanabilir; ana bilgisayar Markdown içeriğini kalıcı hale getirdiğinde bu durum saklı siteler arası betik çalıştırma (stored XSS) olarak ortaya çıkar. Bu sorun 6.5.4 sürümünde düzeltilmiştir.