CVE-2026-57531

إصدارات Milkdown الأقدم من 7.21.3

توجد ثغرة في DOM تتعلق بالبرمجة النصية عبر المواقع (XSS) في حزمة @milkdown/plugin-emoji. يمكن للمهاجمين غير المصادق عليهم تنفيذ تعليمات جافا سكريبت تعسفية في مصدر التطبيق المضيف عن طريق خداع الضحية لحثها على لصق محتوى يتحكم فيه المهاجم. يقوم معالج parseDOM.getAttrs بتخزين قيمة innerHTML الأولية لعناصر span الملصقة التي تحتوي على data-type=”emoji“ دون تعقيم. بعد ذلك، يقوم مشغل toMarkdown بتعيين هذه القيمة غير المعقمة مباشرةً إلى innerHTML لعنصر DOM نشط، مما يتجاوز عملية التعقيم التي يقوم بها DOMPurify والمستخدمة في مسار toDOM ويؤدي إلى تشغيل الحمولة الخبيثة خلال كل دورة تسلسل Markdown.

قم بالتحديث إلى الإصدار 7.21.3 أو أحدث.