PT-2026-39307 · Pypi · Mistune

Sergeykochanov · CVE-2026-44896 · Publicado 2026-05-08 · Atualizado 2026-07-14

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Mistune (versões afetadas não especificadas)

Descrição A função render figure() em src/mistune/directives/image.py concatena as opções figclass e figwidth diretamente em atributos HTML sem a devida sanitização. Isso permite a injeção de atributos e Cross-Site Scripting (XSS), uma técnica onde scripts maliciosos são injetados em sites confiáveis, mesmo quando HTMLRenderer(escape=True) está habilitado, pois esses valores específicos ignoram o renderizador inline.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Exploit

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-44896

ECHO-E0F8-85F8-BD18

GHSA-58CW-G322-P94V

OPENSUSE-SU-2026:20827-1

OPENSUSE-SU-2026:21339-1

PYSEC-2026-168

SUSE-SU-2026:21858-1

SUSE-SU-2026:22655-1

Produtos afetados

Mistune

Referências · 38

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/44xxx/CVE-2026-44896.json · Exploit
• https://github.com/lepture/mistune · Nota
• https://github.com/lepture/mistune/commit/a3cb6e5655308797e8be021d6c7b5bab13cbace2 · Nota
• https://github.com/lepture/mistune/security/advisories/GHSA-58cw-g322-p94v · Aviso do Fabricante
• https://github.com/pypa/advisory-database/tree/main/vulns/mistune/PYSEC-2026-168.yaml · Nota
• https://t.me/cveNotify/166596 · Publicação no Telegram
• https://bugzilla.suse.com/1271132 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-44896 · Nota de Segurança
• https://suse.com/security/cve/CVE-2026-59925 · Nota
• https://osv.dev/vulnerability/PYSEC-2026-168 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2026-59922 · Nota
• https://osv.dev/vulnerability/GHSA-58cw-g322-p94v · Aviso do Fabricante
• https://osv.dev/vulnerability/openSUSE-SU-2026:21339-1 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2026-59930 · Nota
• https://ubuntu.com/security/CVE-2026-44896 · Aviso do Fabricante