PT-2026-34608 · Marko · Marko
K0W4Lzk1
·
Publicado
2026-04-22
·
Atualizado
2026-05-30
·
CVE-2026-41591
CVSS v3.1
6.4
Média
| Vetor | AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N |
Nome do Software Vulnerável e Versões Afetadas
marko versões anteriores a 5.38.36
@marko/runtime-tags versões anteriores a 6.0.164
Description
Marko é uma linguagem declarativa baseada em HTML para a construção de aplicações web. Existe uma falha onde o runtime não consegue evitar a quebra de tag quando texto dinâmico é interpolado em uma tag
<script> ou <style> e a tag de fechamento utiliza letras maiúsculas. Como o analisador do navegador trata os nomes das tags HTML como insensíveis a maiúsculas e minúsculas, um invasor pode usar tags com caixa mista, como </SCRIPT> ou </sTyLe>, para burlar as expressões regulares sensíveis a maiúsculas e minúsculas utilizadas pelo framework. Isso permite que o invasor encerre o contexto de script ou estilo e injete HTML ou JavaScript arbitrário, resultando em cross-site scripting. Este problema afeta especificamente templates que interpolam explicitamente dados não confiáveis dentro desses blocos.Recommendations
Atualize o marko para a versão 5.38.36.
Atualize o @marko/runtime-tags para a versão 6.0.164.
Como medida paliativa temporária, realize a sanitização prévia de dados não confiáveis, normalizando
</script e </style (incluindo variantes de caixa mista) antes da interpolação, ou evite a interpolação direta de valores não confiáveis dentro de tags <script> ou <style>.Exploit
Correção
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Marko