CVE-2026-84992

Nome do Software Vulnerável e Versões Afetadas md-editor-v3 versões anteriores a 6.5.4

Description O MdPreview não escapa ou não utiliza aspas de forma consistente no valor da linguagem de código cercado (fenced-code) ao inseri-lo nos atributos HTML de classe e linguagem dentro do callback de destaque useMarkdownIt(). Como o XSSPlugin filtra apenas tokens html block e html inline existentes antes da renderização, ele não consegue inspecionar o HTML gerado pelo renderizador. Um invasor que forneça Markdown manipulado pode usar metadados de código cercado para executar JavaScript arbitrário na origem da aplicação quando uma vítima renderiza o conteúdo, podendo levar a um cross-site scripting (XSS) armazenado caso o host persista o Markdown.

Recommendations Atualize o md-editor-v3 para a versão 6.5.4.