CVE-2026-115351
CVE-2026-115351 · Mistune 3.2.1 before 3.3.0 CSS Injection via Figure Directive figwidth Option
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
Mistune from 3.2.1 before 3.3.0 contains a CSS injection vulnerability that allows attackers controlling markdown input to inject arbitrary style declarations via the unvalidated figwidth option of the figure directive. Attackers can append declarations like background:url() to the rendered figure style attribute, forcing victim browsers to send requests to attacker servers and leak attribute values.
CVSS 5.3 · Media · EPSS 0,2% · Corrección disponible
- Publicación
- Actualización
Pila tecnológica: system
Productos y versiones afectados
mistune
- Versiones
- ≥ 3.2.1, < 3.3.0: Afectada (semver)
- 3.3.0: No afectada (semver)
Actualiza a 3.3.0
mistune Debian:12
- Versiones
- 2.0.4-1
- 2.0.4-2
- 3.0.2-1
- 3.0.2-2
- 3.1.3-1
- 3.1.4-1
- 3.3.4-1
- 3.4.0-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
mistune Debian:13
- Versiones
- 3.1.3-1
- 3.1.4-1
- 3.3.4-1
- 3.4.0-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
mistune Debian:14
- Versiones
- 3.1.3-1
- 3.1.4-1
- 3.3.4-1
- 3.4.0-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
mistune Ubuntu:16.04:LTS
- Versiones
- 0.6-2
- 0.7.1-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
mistune Ubuntu:18.04:LTS
- Versiones
- 0.7.4-1
- 0.8-1
- 0.8.1-1
- 0.8.3-2
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
mistune Ubuntu:20.04:LTS
- Versiones
- 0.8.4-1
- 0.8.4-2
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
mistune Ubuntu:22.04:LTS
- Versiones
- 0.8.4-4
- 0.8.4-5
- 2.0.0-1+really0.8.4-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
mistune Ubuntu:24.04:LTS
- Versiones
- 2.0.4-2
- 3.0.2-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
mistune Ubuntu:26.10
- Versiones
- 3.1.4-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
mistune Ubuntu:26.04:LTS
- Versiones
- 3.1.3-1
- 3.1.4-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada