CVE-2016-10531
CVE-2016-10531
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
marked is an application that is meant to parse and compile markdown. Due to the way that marked 0.3.5 and earlier parses input, specifically HTML entities, it's possible to bypass marked's content injection protection (`sanitize: true`) to inject a `javascript:` URL. This flaw exists because `&#xNNanything;` gets parsed to what it could and leaves the rest behind, resulting in just `anything;` being left.
CVSS 6.1 · Moyenne · EPSS 1,4% · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: system · node
Produits et versions concernés
marked node module
- Versions du logiciel
- <=0.3.5: Concernée
Aucun correctif publié
node-marked Debian:12
- Plages de versions concernées
- ECOSYSTEM: < 0.3.6+dfsg-1
Mettez à jour vers 0.3.6+dfsg-1
node-marked Debian:13
- Plages de versions concernées
- ECOSYSTEM: < 0.3.6+dfsg-1
Mettez à jour vers 0.3.6+dfsg-1
node-marked Debian:14
- Plages de versions concernées
- ECOSYSTEM: < 0.3.6+dfsg-1
Mettez à jour vers 0.3.6+dfsg-1
marked npm
- Plages de versions concernées
- SEMVER: < 0.3.6
Mettez à jour vers 0.3.6
node-marked Ubuntu:16.04:LTS
- Versions du logiciel
- 0.3.2+dfsg-1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié