Mermaid Gantt Charts are vulnerable to an Infinite Loop DoS

中 5.3CVE-2026-41150 · GHSA-6m6c-36f7-fhxh · 29/05/2026 公開 · 21/07/2026 更新

要点

CVE-2026-41150 は mermaid (mermaid project), mermaid に影響する深刻度「中」 (CVSS 5.3) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.38%（全脆弱性の 32.7% より高い）。
対処：11.15.0, 10.9.6 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
mermaid mermaid_project	`≥ 11.0.0, < 11.15.0< 10.9.6`	`11.15.010.9.6`
mermaid npm	`≥ 11.0.0-alpha.1, < 11.15.0< 10.9.6`	`11.15.010.9.6`

概要

Impact

Mermaid v11.14.0 and earlier are vulnerable to a denial-of-service attack when rendering gantt charts, if they use the excludes attribute to exclude all dates.

Example:

gantt
  excludes monday,tuesday,wednesday,thursday,friday,saturday,sunday
  DoS :2025-01-01, 1d

mermaid.parse is unaffected, unless you then call the ganttDb.getTasks() (which is called when rendering a diagram).

Patches

This has been patched in:

Workarounds

There are no workarounds available without updating to a newer version of mermaid.

NVD の説明

Mermaid is a JavaScript tool that uses Markdown-inspired text to create and modify diagrams and charts. Prior to 10.9.6 and 11.15.0, there is a denial-of-service attack when rendering gantt charts, if they use the excludes attribute to exclude all dates. mermaid.parse is unaffected, unless you then call the ganttDb.getTasks() (which is called when rendering a diagram). This vulnerability is fixed in 10.9.6 and 11.15.0.

参考情報

mermaid-js/mermaid security advisory · WEB
nvd.nist.gov/vuln/detail/CVE-2026-41150 · ADVISORY
mermaid-js/mermaid commit a59ea56 · WEB
mermaid-js/mermaid commit faafb5d · WEB
mermaid-js/mermaid · PACKAGE
mermaid-js/mermaid release [email protected] · WEB
mermaid-js/mermaid release v10.9.6 · WEB

mermaid のその他の脆弱性

すべて見る →

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

パッケージ

影響を受けるバージョン

修正済みバージョン

mermaid

mermaid_project

≥ 11.0.0, < 11.15.0< 10.9.6

11.15.010.9.6