PT-2026-33004 · Goldmark · Goldmark

Catalin Iovita · Publicado 2026-04-15 · Atualizado 2026-04-17 · CVE-2026-5160

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Name of the Vulnerable Software and Affected Versions github.com/yuin/goldmark/renderer/html versões anteriores a 1.7.17

Description A ordenação inadequada da validação e normalização de URLs permite a ocorrência de Cross-site Scripting (XSS). O renderizador realiza uma verificação baseada em prefixo usando a função IsDangerousURL() para validar destinos de links antes de resolver entidades HTML. Um invasor pode burlar a filtragem de protocolos codificando esquemas perigosos com referências de caracteres nomeados do HTML5, como o uso de javascript:alert(1), resultando na execução de scripts arbitrários quando a aplicação renderiza a URL.

Recommendations Atualize para a versão 1.7.17 ou posterior.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-5160

GHSA-C97M-VXHJ-P7J6

Produtos afetados

Goldmark

Referências · 11

• https://github.com/yuin/goldmark · Nota
• https://github.com/yuin/goldmark/commit/cb46bbc4eca29d55aa9721e04ad207c23ccc44f9 · Correção
• https://security-tracker.debian.org/tracker/CVE-2026-5160 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-5160 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2026-5160 · Nota de Segurança
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-5160 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-5160 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-c97m-vxhj-p7j6 · Aviso do Fabricante
• https://security.snyk.io/vuln/SNYK-GOLANG-GITHUBCOMYUINGOLDMARKRENDERERHTML-15838406 · Nota
• https://ubuntu.com/security/CVE-2026-5160 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2044338843672101176 · Publicação no Twitter