CVE-2026-111059

Nome do Software Vulnerável e Versões Afetadas Mercury versões 3.0.0 até 3.2.10

Description Mercury é um framework Python utilizado para compartilhar notebooks Jupyter como aplicações web e dashboards. O widget mr.Markdown converte a entrada em HTML usando python-markdown sem uma etapa de sanitização. Como o MarkdownWidget herda de ipywidgets.HTML, ele renderiza seu valor no Document Object Model (DOM) como HTML bruto via innerHTML sem sanitização. Quando uma aplicação passa dados não confiáveis—como linhas de banco de dados, envios de usuários, conteúdos de arquivos carregados ou respostas de APIs externas—para o mr.Markdown, isso permite um ataque de Cross-Site Scripting (XSS) armazenado ou baseado em DOM orientado a dados. Um invasor pode fornecer HTML ou JavaScript malicioso, como atributos de manipuladores de eventos (ex: onerror ou onload), que serão executados no navegador de qualquer usuário que visualize a aplicação. Isso pode resultar no roubo de sessões ou tokens, falsificação de interface do usuário (UI spoofing) e ações não autorizadas realizadas em nome da vítima.

Recommendations Atualize o Mercury para a versão 3.2.11. Como medida de mitigação temporária, evite passar dados não confiáveis ou controlados pelo usuário para o widget mr.Markdown.