PT-2026-39885 · Mermaid Js+3 · Mermaid+1

Matejsmycka · Publicado 2026-05-11 · Atualizado 2026-05-23 · CVE-2026-41148

Positive Technologies (AI Summary) · Pt

CVSS v4.0

5.3

Média

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:L/VA:N/SC:L/SI:L/SA:L/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Nome do Software Vulnerável e Versões Afetadas Mermaid versões anteriores a 10.9.6 Mermaid versões 11.0.0-alpha.1 até 11.14.0

Description A sanitização inadequada no diagrama de estado e em outros tipos de diagrama que roteiam strings de estilo controladas pelo usuário através do parser createCssStyles permite a injeção de CSS. O sistema captura valores de classDef usando um regex irrestrito que corresponde a tudo até uma nova linha. Esse valor flui sem sanitização através da função addStyleClass() para createCssStyles() e é atribuído a style.innerHTML. Uma chave de fechamento (}) no valor pode encerrar o seletor CSS gerado, permitindo que o texto subsequente seja interpretado como uma nova regra de CSS na página. Isso pode levar à desfiguração da página, rastreamento de usuários via callbacks url() e exfiltração de atributos DOM.

Recommendations Atualize para a versão 10.9.6 para versões anteriores a 10.9.6. Atualize para a versão 11.15.0 para versões 11.0.0-alpha.1 até 11.14.0. Como alternativa temporária, defina securityLevel como sandbox para renderizar os diagramas em um sandbox.

Correção

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2026-41148

GHSA-XCJ9-5M2H-648R

Produtos afetados

Mermaid

Node-Mermaid

Referências · 16

• https://github.com/mermaid-js/mermaid/security/advisories/GHSA-xcj9-5m2h-648r · Nota
• https://github.com/mermaid-js/mermaid/commit/8fead23c59166b7bab6a39eac81acebee2859102 · Nota
• https://github.com/mermaid-js/mermaid/releases/tag/v10.9.6 · Nota
• https://github.com/mermaid-js/mermaid/releases/tag/mermaid%4011.15.0 · Nota
• https://github.com/mermaid-js/mermaid/commit/e9b0f34d8d82a6260077764ee45e1d7d90957a0f · Nota
• https://github.com/mermaid-js/mermaid · Nota
• https://cve.org/CVERecord?id=CVE-2026-41148 · Nota de Segurança
• https://security-tracker.debian.org/tracker/CVE-2026-41148 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-41148 · Aviso do Fabricante
• https://t.me/CVEtracker/54691 · Publicação no Telegram
• https://twitter.com/CVEnew/status/2058155761642156423 · Publicação no Twitter
• https://ubuntu.com/security/CVE-2026-41148 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-xcj9-5m2h-648r · Aviso do Fabricante
• https://mermaid.js.org/config/schema-docs/config.html#securitylevel · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-41148 · Nota de Segurança