Mermaid: Improper sanitization of `classDef` in state diagrams leads to HTML injection

中 5.3CVE-2026-41149 · GHSA-ghcm-xqfw-q4vr · 22/05/2026 公開 · 23/07/2026 更新

要点

CVE-2026-41149 は mermaid に影響する深刻度「中」 (CVSS 5.3) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.40%（全脆弱性の 34.5% より高い）。
対処：11.15.0, 10.9.6 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
mermaid npm	`≥ 11.0.0-alpha.1, < 11.15.0< 10.9.6`	`11.15.010.9.6`

概要

Impact

Under the default configuration, Mermaid state diagram's classDef allow DOM injection that escapes the SVG, although <script> tags are removed, preventing XSS.

Proof-of-concept

stateDiagram-v2
  classDef xss fill:red</style></svg><style>*{x:x;y:y;overflow:visible!important;contain:none!important;transform:none!important;filter:none!important;clip-path:none!important}</style><div style="x:x;y:y;color:red;font:5em/1 monospace;display:grid;place-items:center;z-index:2147483647;width:100vw;height:100vh;position:fixed;top:0;left:0;background:black">HACKED</div><svg><style>a:b
  [*] --> A:::xss

Patches

Workarounds

If you can not update to a patched version, setting "securityLevel": "sandbox" will prevent this, by rendering the mermaid diagram in a sandboxed <iframe>.

Credits

Thanks to @zsxsoft from @KeenSecurityLab for reporting this vulnerability.

NVD の説明

Mermaid is a JavaScript tool that uses Markdown-inspired text to create and modify diagrams and charts. Versions 10.9.5 and earlier, as well as 11.0.0-alpha.1 through 11.14.0, are vulnerable to HTML injection under the default configuration. Specifically, the classDef directive in Mermaid state diagrams permits DOM injection that escapes the SVG context. However, <script> tags are stripped, which prevents cross-site scripting (XSS). This issue has been fixed in versions 10.9.6 and 11.15.0. If developers are unable to immediately upgrade, they can work around this issue by setting "securityLevel": "sandbox", which prevents the issue by rendering the mermaid diagram in a sandboxed <iframe>.

参考情報

mermaid-js/mermaid security advisory · WEB
nvd.nist.gov/vuln/detail/CVE-2026-41149 · ADVISORY
mermaid-js/mermaid commit 37ff937 · WEB
mermaid-js/mermaid commit 4e2d512 · WEB
mermaid-js/mermaid · PACKAGE
mermaid-js/mermaid release [email protected] · WEB
mermaid-js/mermaid release v10.9.6 · WEB
mermaid.js.org/config/schema-docs/config.html · WEB

mermaid のその他の脆弱性

すべて見る →

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

パッケージ

影響を受けるバージョン

修正済みバージョン

mermaid

npm

≥ 11.0.0-alpha.1, < 11.15.0< 10.9.6

11.15.010.9.6

概要