CVE-2026-57530

إصدارات Milkdown الأقدم من 7.21.3

توجد ثغرة في البرمجة النصية عبر المواقع المخزنة في حزمتي @milkdown/preset-commonmark و@milkdown/components. يمكن للمهاجمين الذين يتمتعون بحق الوصول لكتابة المستندات تنفيذ تعليمات جافا سكريبت تعسفية في سياق متصفح المستخدمين الذين يفتحون المستند أو ينقرون على رابط معروض. يحدث هذا لأن أداة التشغيل parseMarkdown تخزن قيم عناوين URL الأولية من شجرة التحليل البنيوي (AST) لـ remark كسمات علامة href دون التحقق من صحة نظام عناوين URL. بالإضافة إلى ذلك، يفشل استدعاء DOMPurify.sanitize() في ملف edit-view.ts في تنقية سلاسل عناوين URL غير المشفرة، حيث يعاملها كعقد نصية ويسمح لحمولات javascript: بالبقاء في مكون معاينة تلميح الرابط وعناصر الربط في الوضع القراءة فقط.

قم بالتحديث إلى الإصدار 7.21.3 أو أحدث.