Tóm tắt nhanh
- CVE-2026-59926 là lỗ hổng mức TRUNG BÌNH (CVSS 6.1) ảnh hưởng mistune, mistune (mistune project).
- Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.33%, cao hơn 25.8% các lỗ hổng khác.
- Cách xử lý: cập nhật lên 3.3.0 hoặc mới hơn.
| Gói / sản phẩm | Phiên bản bị ảnh hưởng | Phiên bản đã vá |
|---|
| mistune PyPI | < 3.3.0
| 3.3.0
|
| mistune | < 3.3.0
| 3.3.0
|
Mô tả
In src/mistune/directives/admonition.py, the render_admonition() function concatenates the :class: option directly into the HTML class attribute without escaping (lines 63-68).
This allows attribute injection and XSS even when HTMLRenderer(escape=True) is used.
The directive name parameter is safe (validated against whitelist), but the class option comes from raw user input.
Mô tả của NVD
Mistune is a Python Markdown parser with renderers and plugins. Prior to 3.2.1, render_admonition() in src/mistune/directives/admonition.py concatenates the Admonition directive :class: option into the HTML class attribute without escaping, allowing attribute injection and cross-site scripting even when HTMLRenderer escape mode is enabled. This issue is fixed in version 3.2.1.
Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.
Quét site miễn phí