PT-2026-39886
CVE-2026-41149
·
تاريخ النشر
2026-05-11
·
تاريخ التحديث
2026-07-23
الوصف من
CVSS 4.0
5.3
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:L/VA:N/SC:L/SI:L/SA:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Mermaid الأقدم من 10.9.6
إصدارات Mermaid من 11.0.0-alpha.1 حتى 11.14.0
الوصف
Mermaid هي أداة JavaScript تستخدم نصًا مستوحى من Markdown لإنشاء وتعديل المخططات والرسوم البيانية. في الإعدادات الافتراضية، تسمح توجيهات
classDef في مخططات الحالة بإدخال HTML الذي يتجاوز سياق SVG، مما يؤدي إلى إدخال DOM. وعلى الرغم من إزالة علامات <script> لمنع البرمجة النصية عبر المواقع (XSS)، فإن هذه المشكلة لا تزال تسمح بإدخال عناصر HTML عشوائية في نموذج كائن المستند (DOM)، وهو واجهة البرمجة لمستندات HTML وXML.التوصيات
التحديث إلى الإصدار 10.9.6.
التحديث إلى الإصدار 11.15.0.
كحل مؤقت، قم بتعيين
securityLevel إلى sandbox لعرض المخططات في <iframe> معزول.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾