p PatchFirst

CVE-2026-41159

CVE-2026-41159 · Mermaid: Improper sanitization of configuration leads to CSS injection

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

Mermaid is a JavaScript tool that uses Markdown-inspired text to create and modify diagrams and charts. Prior to 10.9.6 and 11.15.0, Mermaid's default configuration allows injecting CSS that applies outside of the Mermaid diagram via the fontFamily, themeCSS, and altFontFamily configuration options. The injected CSS exploits stylis's & (scope reference) handling. :not(&) escapes the #mermaid-xxx automatic scoping, applying styles to all page elements. Global at-rules (@font-face, @keyframes, @counter-style) are also injectable as stylis hoists them to top level. This allows page defacement and DOM attribute exfiltration via CSS :has() selectors. This vulnerability is fixed in 10.9.6 and 11.15.0.

CVSS 5.3 · Mittel · EPSS 0,5% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: system · node

Betroffene Produkte und Versionen

  • mermaid

    Softwareversionen
    • >= 11.0.0-alpha.1, < 11.15.0: Betroffen
    • < 10.9.6: Betroffen

    Keine Korrektur veröffentlicht

  • node-mermaid Debian:14

    Softwareversionen
    • 8.11.0+ds+~cs29.13.22-1
    • 8.13.2+ds+~cs30.13.21-1
    • 8.13.2+ds+~cs30.13.21-1.1
    • 8.13.3+ds+~cs26.13.21-1
    • 8.13.3+ds+~cs26.13.21-2
    • 8.13.8+~cs10.4.16-1
    • 8.14.0+ds1+~cs11.4.14-1
    • 8.14.0+~cs11.4.14-1
    • 8.7.0+ds+~cs27.17.17-1
    • 8.7.0+ds+~cs27.17.17-2
    • 8.7.0+ds+~cs27.17.17-2~bpo10+1
    • 8.7.0+ds+~cs27.17.17-3
    • 8.9.1+ds+~cs26.20.25-1
    • 8.9.3+ds+~cs29.13.19-1
    • 9.2.2+~2.0.0-1
    • 9.2.2+~2.0.0-2
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • mermaid npm

    Betroffene Versionsbereiche
    • SEMVER: ≥ 11.0.0-alpha.1, < 11.15.0

    Auf 11.15.0 aktualisieren

  • mermaid npm

    Betroffene Versionsbereiche
    • SEMVER: < 10.9.6

    Auf 10.9.6 aktualisieren

  • node-mermaid Ubuntu:22.04:LTS

    Softwareversionen
    • 8.7.0+ds+~cs27.17.17-3
    • 8.13.3+ds+~cs26.13.21-1
    • 8.13.3+ds+~cs26.13.21-2
    • 8.13.8+~cs10.4.16-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • node-mermaid Ubuntu:26.10

    Softwareversionen
    • 9.2.2+~2.0.0-1
    • 9.2.2+~2.0.0-2
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

Originalquellen

Prüfen Sie Ihren Server →