p PatchFirst

CVE-2026-30838

CVE-2026-30838 · league/commonmark: DisallowedRawHtml extension bypass via whitespace in HTML tag names

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

league/commonmark is a PHP Markdown parser. Prior to version 2.8.1, the DisallowedRawHtml extension can be bypassed by inserting a newline, tab, or other ASCII whitespace character between a disallowed HTML tag name and the closing >. For example, <script\n> would pass through unfiltered and be rendered as a valid HTML tag by browsers. This is a cross-site scripting (XSS) vector for any application that relies on this extension to sanitize untrusted user input. All applications using the DisallowedRawHtml extension to process untrusted markdown are affected. Applications that use a dedicated HTML sanitizer (such as HTML Purifier) on the rendered output are not affected. This issue has been patched in version 2.8.1.

CVSS 5.1 · Moyenne · EPSS 0,2% · Correctif disponible

Publication
Mise à jour

Pile logicielle: system · php

Produits et versions concernés

  • commonmark

    Versions du logiciel
    • < 2.8.1: Concernée

    Aucun correctif publié

  • php-league-commonmark Debian:12

    Versions du logiciel
    • 2.3.9-1
    Plages de versions concernées
    • ECOSYSTEM: < 2.3.9-1+deb12u1

    Mettez à jour vers 2.3.9-1+deb12u1

  • php-league-commonmark Debian:13

    Versions du logiciel
    • 2.7.0-1
    Plages de versions concernées
    • ECOSYSTEM: < 2.7.0-1+deb13u1

    Mettez à jour vers 2.7.0-1+deb13u1

  • php-league-commonmark Debian:14

    Versions du logiciel
    • 2.7.0-1
    • 2.7.1-1
    • 2.7.1-2
    • 2.8.0-1
    Plages de versions concernées
    • ECOSYSTEM: < 2.8.1-1

    Mettez à jour vers 2.8.1-1

  • league/commonmark Packagist

    Versions du logiciel
    • 2.0.0
    • 2.0.1
    • 2.0.2
    • 2.0.3
    • 2.0.4
    • 2.1.0
    • 2.1.1
    • 2.1.2
    • 2.1.3
    • 2.2.0
    • 2.2.1
    • 2.2.2
    • 2.2.3
    • 2.2.4
    • 2.2.5
    • 2.3.0
    • 2.3.1
    • 2.3.2
    • 2.3.3
    • 2.3.4
    • 2.3.5
    • 2.3.6
    • 2.3.7
    • 2.3.8
    • 2.3.9
    • 2.4.0
    • 2.4.1
    • 2.4.2
    • 2.4.3
    • 2.4.4
    • 2.5.0
    • 2.5.1
    • 2.5.2
    • 2.5.3
    • 2.6.0
    • 2.6.1
    • 2.6.2
    • 2.7.0
    • 2.7.1
    • 2.8.0
    Plages de versions concernées
    • ECOSYSTEM: ≥ 2.0.0, < 2.8.1

    Mettez à jour vers 2.8.1

  • php-league-commonmark Ubuntu:Pro:20.04:LTS

    Versions du logiciel
    • 1.1.2-1
    • 1.2.0-1
    • 1.3.0-1
    • 1.3.1-1
    • 1.3.1-1ubuntu2
    Plages de versions concernées
    • ECOSYSTEM: < 1.3.1-1ubuntu2+esm1

    Mettez à jour vers 1.3.1-1ubuntu2+esm1

  • php-league-commonmark Ubuntu:Pro:22.04:LTS

    Versions du logiciel
    • 1.5.7-2build1
    • 1.6.6-1build1
    • 1.6.7-1
    Plages de versions concernées
    • ECOSYSTEM: < 1.6.7-1ubuntu0.1~esm1

    Mettez à jour vers 1.6.7-1ubuntu0.1~esm1

  • php-league-commonmark Ubuntu:Pro:24.04:LTS

    Versions du logiciel
    • 2.3.9-1
    • 2.4.1-1
    • 2.4.2-1
    • 2.4.2-2
    Plages de versions concernées
    • ECOSYSTEM: < 2.4.2-2ubuntu0.1~esm1

    Mettez à jour vers 2.4.2-2ubuntu0.1~esm1

  • php-league-commonmark Ubuntu:25.10

    Versions du logiciel
    • 2.6.1-2
    • 2.6.2-1
    • 2.7.0-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • php-league-commonmark Ubuntu:26.10

    Versions du logiciel
    • 2.8.0-1
    • 2.8.2-2
    • 2.8.3-1
    • 2.10.0-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • php-league-commonmark Ubuntu:26.04:LTS

    Versions du logiciel
    • 2.7.0-1
    • 2.7.1-2
    • 2.8.0-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

Sources originales

Vérifiez votre serveur →