Macro in MathJax running untrusted Javascript within a web browser

中 5.4CVE-2018-1999024 · GHSA-3c48-6pcv-88rm · 23/07/2018 公開 · 17/06/2026 更新

要点

CVE-2018-1999024 は mathjax (mathjax), mathjax に影響する深刻度「中」 (CVSS 5.4) の脆弱性です。
今後30日間に悪用される確率（EPSS）：1.4%（全脆弱性の 73.4% より高い）。
対処：2.7.4 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
mathjax mathjax	`< 2.7.4`	`2.7.4`
mathjax npm	`< 2.7.4`	`2.7.4`

概要

MathJax version prior to version 2.7.4 contains a Cross Site Scripting (XSS) vulnerability in the \unicode{} macro that can result in Potentially untrusted Javascript running within a web browser. This attack appear to be exploitable via The victim must view a page where untrusted content is processed using Mathjax. This vulnerability appears to have been fixed in 2.7.4 and later.

NVD の説明

MathJax version prior to version 2.7.4 contains a Cross Site Scripting (XSS) vulnerability in the \unicode{} macro that can result in Potentially untrusted Javascript running within a web browser. This attack appear to be exploitable via The victim must view a page where untrusted content is processed using Mathjax. This vulnerability appears to have been fixed in 2.7.4 and later.

参考情報

nvd.nist.gov/vuln/detail/CVE-2018-1999024 · ADVISORY
mathjax/MathJax commit a55da39 · WEB
blog.bentkowski.info/2018/06/xss-in-google-colaboratory-csp-bypass.html · WEB
GitHub Advisory GHSA-3c48-6pcv-88rm · ADVISORY
mathjax/MathJax · PACKAGE

mathjax のその他の脆弱性

すべて見る →

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

パッケージ

影響を受けるバージョン

修正済みバージョン

mathjax

< 2.7.4

2.7.4

mathjax

npm

< 2.7.4

2.7.4

概要

NVD の説明