- Yama var
- Son 7 gün
- CWE-79
CVE-2026-115350
Mistune'da Include direktifi üzerinden depolanmış siteler arası betik çalıştırma (XSS) açığı
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Mistune 3.3.0 öncesi sürümler, Include direktifinde bir siteler arası betik çalıştırma (XSS) açığı içerir. Bu direktif, dahil edilen .html, .xhtml veya .htm dosyası içeriğini ham block_html belirteçleri olarak üretir. Render işlemcisinin okuyabildiği bir HTML dosyasını yerleştirebilen saldırganlar, dizin geçişi (path traversal) ile birleştirilmiş bir include direktifi üzerinden bu dosyaya başvurarak escape=False ayarlandığında depolanmış betikleri çalıştırabilir.
Kaynaktaki açıklama (İngilizce)
Mistune before 3.3.0 contains a cross-site scripting vulnerability in the Include directive that emits included .html, .xhtml, or .htm file content as raw block_html tokens. Attackers who can plant an HTML file readable by the renderer can reference it via an include directive, combined with path traversal, to execute stored scripts when escape=False is set.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| lepture mistune | < 3.3.0 | 3.3.0 |
| 3.3.0 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.