p PatchFirst

CVE-2026-30838

CVE-2026-30838 · league/commonmark: DisallowedRawHtml extension bypass via whitespace in HTML tag names

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

league/commonmark is a PHP Markdown parser. Prior to version 2.8.1, the DisallowedRawHtml extension can be bypassed by inserting a newline, tab, or other ASCII whitespace character between a disallowed HTML tag name and the closing >. For example, <script\n> would pass through unfiltered and be rendered as a valid HTML tag by browsers. This is a cross-site scripting (XSS) vector for any application that relies on this extension to sanitize untrusted user input. All applications using the DisallowedRawHtml extension to process untrusted markdown are affected. Applications that use a dedicated HTML sanitizer (such as HTML Purifier) on the rendered output are not affected. This issue has been patched in version 2.8.1.

CVSS 5.1 · Mittel · EPSS 0,3% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: system · php

Betroffene Produkte und Versionen

  • commonmark

    Softwareversionen
    • < 2.8.1: Betroffen

    Keine Korrektur veröffentlicht

  • php-league-commonmark Debian:12

    Softwareversionen
    • 2.3.9-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 2.3.9-1+deb12u1

    Auf 2.3.9-1+deb12u1 aktualisieren

  • php-league-commonmark Debian:13

    Softwareversionen
    • 2.7.0-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 2.7.0-1+deb13u1

    Auf 2.7.0-1+deb13u1 aktualisieren

  • php-league-commonmark Debian:14

    Softwareversionen
    • 2.7.0-1
    • 2.7.1-1
    • 2.7.1-2
    • 2.8.0-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 2.8.1-1

    Auf 2.8.1-1 aktualisieren

  • league/commonmark Packagist

    Softwareversionen
    • 2.0.0
    • 2.0.1
    • 2.0.2
    • 2.0.3
    • 2.0.4
    • 2.1.0
    • 2.1.1
    • 2.1.2
    • 2.1.3
    • 2.2.0
    • 2.2.1
    • 2.2.2
    • 2.2.3
    • 2.2.4
    • 2.2.5
    • 2.3.0
    • 2.3.1
    • 2.3.2
    • 2.3.3
    • 2.3.4
    • 2.3.5
    • 2.3.6
    • 2.3.7
    • 2.3.8
    • 2.3.9
    • 2.4.0
    • 2.4.1
    • 2.4.2
    • 2.4.3
    • 2.4.4
    • 2.5.0
    • 2.5.1
    • 2.5.2
    • 2.5.3
    • 2.6.0
    • 2.6.1
    • 2.6.2
    • 2.7.0
    • 2.7.1
    • 2.8.0
    Betroffene Versionsbereiche
    • ECOSYSTEM: ≥ 2.0.0, < 2.8.1

    Auf 2.8.1 aktualisieren

  • php-league-commonmark Ubuntu:Pro:20.04:LTS

    Softwareversionen
    • 1.1.2-1
    • 1.2.0-1
    • 1.3.0-1
    • 1.3.1-1
    • 1.3.1-1ubuntu2
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 1.3.1-1ubuntu2+esm1

    Auf 1.3.1-1ubuntu2+esm1 aktualisieren

  • php-league-commonmark Ubuntu:Pro:22.04:LTS

    Softwareversionen
    • 1.5.7-2build1
    • 1.6.6-1build1
    • 1.6.7-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 1.6.7-1ubuntu0.1~esm1

    Auf 1.6.7-1ubuntu0.1~esm1 aktualisieren

  • php-league-commonmark Ubuntu:Pro:24.04:LTS

    Softwareversionen
    • 2.3.9-1
    • 2.4.1-1
    • 2.4.2-1
    • 2.4.2-2
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 2.4.2-2ubuntu0.1~esm1

    Auf 2.4.2-2ubuntu0.1~esm1 aktualisieren

  • php-league-commonmark Ubuntu:25.10

    Softwareversionen
    • 2.6.1-2
    • 2.6.2-1
    • 2.7.0-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • php-league-commonmark Ubuntu:26.10

    Softwareversionen
    • 2.8.0-1
    • 2.8.2-2
    • 2.8.3-1
    • 2.10.0-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • php-league-commonmark Ubuntu:26.04:LTS

    Softwareversionen
    • 2.7.0-1
    • 2.7.1-2
    • 2.8.0-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

Originalquellen

Prüfen Sie Ihren Server →