- Yama var
- Son 7 gün
- CWE-94
CVE-2026-115351
Mistune figure direktifinin figwidth seçeneğinde CSS enjeksiyonu açığı
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
3.2.1 sürümünden 3.3.0 öncesine kadar olan Mistune, markdown girdisini kontrol eden saldırganların figure direktifinin doğrulanmamış figwidth seçeneği üzerinden keyfi stil tanımları enjekte etmesine olanak tanıyan bir CSS enjeksiyonu açığı içermektedir. Saldırganlar, oluşturulan figure öğesinin style özniteliğine background:url gibi tanımlar ekleyebilmekte; bu da kurban tarayıcılarının saldırgan sunucularına istek göndermesine yol açarak öznitelik değerlerinin sızdırılmasına neden olabilmektedir.
Kaynaktaki açıklama (İngilizce)
Mistune from 3.2.1 before 3.3.0 contains a CSS injection vulnerability that allows attackers controlling markdown input to inject arbitrary style declarations via the unvalidated figwidth option of the figure directive. Attackers can append declarations like background:url() to the rendered figure style attribute, forcing victim browsers to send requests to attacker servers and leak attribute values.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| lepture mistune | ≥ 3.2.1, < 3.3.0 | 3.3.0 |
| 3.3.0 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.