Markdownify subject to Remote Code Execution via malicious markdown file

高 7.8CVE-2022-41709 · GHSA-c942-mfmp-p4fh · 19/10/2022 公開 · 17/06/2026 更新

要点

CVE-2022-41709 は markdownify (markdownify project), electron-markdownify に影響する深刻度「高」 (CVSS 7.8) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.48%（全脆弱性の 41.6% より高い）。
修正版の情報はまだありません。参考情報のベンダー勧告を確認してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
markdownify markdownify_project	`= 1.4.1`	修正版なし
electron-markdownify npm	`≤ 1.4.1`	修正版なし

概要

Markdownify version 1.4.1 allows an external attacker to execute arbitrary code remotely on any client attempting to view a malicious markdown file through Markdownify. This is possible because the application has the "nodeIntegration" option enabled. There are currently no patched versions and no known workarounds.

NVD の説明