CVE-2026-57530

Nome do Software Vulnerável e Versões Afetadas Milkdown versões anteriores a 7.21.3

Description Um problema de cross-site scripting (XSS) armazenado existe nos pacotes @milkdown/preset-commonmark e @milkdown/components. Atacantes com acesso de escrita ao documento podem executar JavaScript arbitrário no contexto do navegador de usuários que abrirem o documento ou clicarem em um link renderizado. Isso ocorre porque o executor parseMarkdown armazena valores de URL brutos do remark AST como atributos de marca href sem a validação do esquema da URL. Além disso, uma chamada ao DOMPurify.sanitize() em edit-view.ts falha ao sanitizar strings de URL simples, tratando-as como nós de texto e permitindo que payloads javascript: persistam no componente de visualização de dica de link e em elementos de âncora no modo de apenas leitura.

Recommendations Atualize para a versão 7.21.3 ou posterior.