CVE-2026-50159
CVE-2026-50159 · Mermaid allows CSS injection applying to sibling elements of the diagram
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
Mermaid is a JavaScript tool that uses Markdown-inspired text to create and modify diagrams and charts. Prior to 10.9.8 and 11.16.1, Mermaid is vulnerable to CSS injection via sibling combinator selectors generated from diagram-supplied class or id names. An attacker who can supply diagram text can inject arbitrary CSS into the rendered page, potentially altering the appearance or behavior of unrelated page elements. This issue is fixed in versions 10.9.8 and 11.16.1.
CVSS 5.3 · Media · EPSS 0,6% · Corrección disponible
- Publicación
- Actualización
Pila tecnológica: system · node
Productos y versiones afectados
mermaid
- Versiones
- < 10.9.8: Afectada
- >= 11.0.0-alpha.1, < 11.16.1: Afectada
Sin corrección publicada
node-mermaid Debian:14
- Versiones
- 8.11.0+ds+~cs29.13.22-1
- 8.13.2+ds+~cs30.13.21-1
- 8.13.2+ds+~cs30.13.21-1.1
- 8.13.3+ds+~cs26.13.21-1
- 8.13.3+ds+~cs26.13.21-2
- 8.13.8+~cs10.4.16-1
- 8.14.0+ds1+~cs11.4.14-1
- 8.14.0+~cs11.4.14-1
- 8.7.0+ds+~cs27.17.17-1
- 8.7.0+ds+~cs27.17.17-2
- 8.7.0+ds+~cs27.17.17-2~bpo10+1
- 8.7.0+ds+~cs27.17.17-3
- 8.9.1+ds+~cs26.20.25-1
- 8.9.3+ds+~cs29.13.19-1
- 9.2.2+~2.0.0-1
- 9.2.2+~2.0.0-2
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
mermaid npm
- Intervalos de versiones afectados
- SEMVER: ≥ 11.0.0-alpha.1, < 11.16.1
Actualiza a 11.16.1
mermaid npm
- Intervalos de versiones afectados
- SEMVER: < 10.9.8
Actualiza a 10.9.8
node-mermaid Ubuntu:22.04:LTS
- Versiones
- 8.7.0+ds+~cs27.17.17-3
- 8.13.3+ds+~cs26.13.21-1
- 8.13.3+ds+~cs26.13.21-2
- 8.13.8+~cs10.4.16-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
node-mermaid Ubuntu:26.10
- Versiones
- 9.2.2+~2.0.0-1
- 9.2.2+~2.0.0-2
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
Fuentes originales
- https://github.com/mermaid-js/mermaid/security/advisories/GHSA-6x64-9x62-f2gx
- https://github.com/mermaid-js/mermaid/pull/8022
- https://github.com/mermaid-js/mermaid/commit/12d472c9ed43f94814b110da8d7a9ae6dd5266ed
- https://github.com/mermaid-js/mermaid/commit/7e83f1533318b307764d961906a73377266f4c5e
- https://github.com/mermaid-js/mermaid/releases/tag/[email protected]
- https://github.com/mermaid-js/mermaid/releases/tag/v10.9.8
- https://nvd.nist.gov/vuln/detail/CVE-2026-50159