p PatchFirst

CVE-2026-104847

CVE-2026-104847 · ProseMirror: XSS vulnerability in prosemirror-view's paste handling

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

ProseMirror's view component renders and manages the editable browser interface for ProseMirror documents. Prior to 1.42.3, prosemirror-view paste handling accepts attacker-provided HTML whose clipboard slice context contains attributes that are not passed through schema attribute validation. When a user pastes the crafted HTML into an editor, the unvalidated context attributes can construct content that executes attacker-controlled JavaScript in the browser window containing the editor. This issue is fixed in version 1.42.3.

CVSS 8.5 · Élevée · EPSS 0,3% · Correctif disponible

Publication
Mise à jour

Pile logicielle: node

Produits et versions concernés

  • prosemirror-view

    Versions du logiciel
    • < 1.42.3: Concernée

    Aucun correctif publié

  • prosemirror-view npm

    Plages de versions concernées
    • SEMVER: < 1.42.3

    Mettez à jour vers 1.42.3

Sources originales

Vérifiez votre serveur →