CVE-2026-57531

Nome do Software Vulnerável e Versões Afetadas Milkdown versões anteriores a 7.21.3

Description Um problema de cross-site scripting (XSS) de DOM existe no pacote @milkdown/plugin-emoji. Atacantes não autenticados podem executar JavaScript arbitrário na origem da aplicação hospedeira ao induzir uma vítima a colar conteúdo controlado pelo atacante. O manipulador parseDOM.getAttrs armazena o innerHTML bruto de elementos span colados com data-type="emoji" sem sanitização. Posteriormente, o executor toMarkdown atribui este valor não sanitizado diretamente ao innerHTML de um elemento DOM ativo, ignorando a sanitização do DOMPurify utilizada no caminho toDOM e causando a execução do payload em cada ciclo de serialização de markdown.

Recommendations Atualize para a versão 7.21.3 ou posterior.