PT-2026-39888
CVE-2026-41159
·
تاريخ النشر
2026-05-11
·
تاريخ التحديث
2026-07-01
الوصف من
CVSS 4.0
5.3
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:L/VA:N/SC:L/SI:L/SA:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Mermaid الأقدم من 11.15.0
إصدارات Mermaid الأقدم من 10.9.6
الوصف
يسمح التكوين الافتراضي بحقن كود CSS يُطبق خارج مخطط Mermaid. ويحدث ذلك من خلال خيارات التكوين
fontFamily وthemeCSS وaltFontFamily، مستغلاً الطريقة التي يتعامل بها stylis مع مراجع النطاق. وعلى وجه التحديد، يؤدي استخدام :not(&) إلى تجاوز النطاق التلقائي، مما يسمح بتطبيق الأنماط على جميع عناصر الصفحة. بالإضافة إلى ذلك، يمكن إدخال القواعد العالمية مثل @font-face و@keyframes و@counter-style حيث يتم رفعها إلى المستوى الأعلى. وقد يؤدي ذلك إلى تشويه الصفحة وتسريب سمات DOM باستخدام محددات CSS :has().التوصيات
التحديث إلى الإصدار 11.15.0 أو أحدث.
التحديث إلى الإصدار 10.9.6 أو أحدث.
تعيين قيمة التكوين
secure لتجنب السماح للرسوم البيانية بتعديل fontFamily وthemeCSS وaltFontFamily وthemeVariables.تعيين
securityLevel إلى sandbox لمنع حدوث المشكلة.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾