PT-2026-39886 · Mermaid Js+3 · Mermaid+1

Zsxsoft · Publicado 2026-05-11 · Atualizado 2026-05-23 · CVE-2026-41149

Positive Technologies (AI Summary) · Pt

CVSS v4.0

5.3

Média

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:L/VA:N/SC:L/SI:L/SA:L

Nome do Software Vulnerável e Versões Afetadas Mermaid versões anteriores a 10.9.6 Mermaid versões 11.0.0-alpha.1 até 11.14.0

Description O Mermaid é uma ferramenta JavaScript que utiliza texto inspirado em Markdown para criar e modificar diagramas e gráficos. Sob a configuração padrão, a diretiva classDef em diagramas de estado permite a injeção de HTML que escapa do contexto SVG, resultando em injeção de DOM. Embora as tags <script> sejam removidas para evitar cross-site scripting (XSS), o problema ainda permite a injeção de elementos HTML arbitrários no Document Object Model (DOM), que é a interface de programação para documentos HTML e XML.

Recommendations Atualize para a versão 10.9.6. Atualize para a versão 11.15.0. Como alternativa temporária, defina securityLevel como sandbox para renderizar os diagramas em um <iframe> isolado.

Exploit

Correção

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2026-41149

GHSA-GHCM-XQFW-Q4VR

Produtos afetados

Mermaid

Node-Mermaid

Referências · 16

• 🔥 https://github.com/mermaid-js/mermaid/security/advisories/GHSA-ghcm-xqfw-q4vr · Exploit
• https://github.com/mermaid-js/mermaid/releases/tag/v10.9.6 · Nota
• https://github.com/mermaid-js/mermaid/commit/37ff937f1da2e19f882fd1db01235db4d01f4056 · Nota
• https://github.com/mermaid-js/mermaid/releases/tag/mermaid%4011.15.0 · Nota
• https://github.com/mermaid-js/mermaid/commit/4e2d512bf5bf6f9de1a8f0a48da78dc4d09ac4f3 · Nota
• https://github.com/mermaid-js/mermaid · Nota
• https://security-tracker.debian.org/tracker/CVE-2026-41149 · Aviso do Fabricante
• https://t.me/CVEtracker/54696 · Publicação no Telegram
• https://twitter.com/CVEnew/status/2058155756185375166 · Publicação no Twitter
• https://mermaid.js.org/config/schema-docs/config.html#securitylevel · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-41149 · Nota de Segurança
• https://ubuntu.com/security/CVE-2026-41149 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-ghcm-xqfw-q4vr · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-41149 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-41149 · Aviso do Fabricante