CVE-2026-50159

Nome do Software Vulnerável e Versões Afetadas Mermaid versões anteriores a 10.9.8 Mermaid versões anteriores a 11.16.1

Description O Mermaid é vulnerável à injeção de CSS por meio de seletores de combinadores irmãos gerados a partir de nomes de classe ou id fornecidos no texto do diagrama. O software não restringe totalmente o CSS à subárvore SVG renderizada, permitindo que seletores que utilizam combinadores ~ ou + escapem do contêiner do Mermaid e apliquem estilos a elementos DOM adjacentes ao <svg> do diagrama. Isso ocorre porque o aninhamento de CSS expande esses combinadores para selecionar todos os elementos irmãos que seguem o SVG no DOM, fora do limite do diagrama. Um invasor que forneça a origem do diagrama pode usar isso para realizar a alteração da interface do usuário (UI redressing), ocultar conteúdo, realizar sondagens condicionais baseadas em CSS ou manipulação visual do tipo phishing. Este problema afeta principalmente usuários que inserem manualmente o <svg> no DOM em vez de usar o método de renderização padrão.

Recommendations Atualize para a versão 10.9.8 ou posterior. Atualize para a versão 11.16.1 ou posterior. Envolva o <svg> em um elemento sem outros filhos, como um <div>, ou use mermaid.run() ou mermaid.initialize() para gerenciar a inserção. Defina a configuração securityLevel como sandbox. Defina o valor de configuração secure para evitar que os diagramas modifiquem fontFamily, themeCSS, altFontFamily e themeVariables.