PT-2026-39307 · Pypi · Mistune

Sergeykochanov · Publicado 2026-05-08 · Atualizado 2026-06-09 · CVE-2026-44896

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Mistune (versões afetadas não especificadas)

Descrição A função render figure() em src/mistune/directives/image.py concatena as opções figclass e figwidth diretamente em atributos HTML sem a devida sanitização. Isso permite a injeção de atributos e Cross-Site Scripting (XSS), uma técnica onde scripts maliciosos são injetados em sites confiáveis, mesmo quando HTMLRenderer(escape=True) está habilitado, pois esses valores específicos ignoram o renderizador inline.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-44896

GHSA-58CW-G322-P94V

PYSEC-2026-168

Produtos afetados

Mistune

Referências · 14

• https://github.com/lepture/mistune/commit/a3cb6e5655308797e8be021d6c7b5bab13cbace2 · Nota
• https://github.com/lepture/mistune/security/advisories/GHSA-58cw-g322-p94v · Aviso do Fabricante
• https://github.com/lepture/mistune · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/mistune/PYSEC-2026-168.yaml · Nota
• https://t.me/cveNotify/166596 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-58cw-g322-p94v · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-44896 · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2026-168 · Aviso do Fabricante
• https://twitter.com/dailycve/status/2052955888705569060 · Publicação no Twitter
• https://security-tracker.debian.org/tracker/CVE-2026-44896 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-44896 · Nota de Segurança
• https://cve.org/CVERecord?id=CVE-2026-44896 · Nota de Segurança
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-44896 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2026-44896 · Aviso do Fabricante