PT-2026-50510 · Git+1 · Earmark

Peter Ullrich + 1 · Publicado 2026-06-17 · Atualizado 2026-06-17 · CVE-2026-48591

Positive Technologies (AI Summary) · Pt

CVSS v4.0

4.8

Média

Vetor base

AV:L/AC:L/AT:N/PR:N/UI:P/VC:L/VI:L/VA:N/SC:L/SI:L/SA:N

Nome do Software Vulnerável e Versões Afetadas pragdave earmark versões 1.4.1 e posteriores

Description A neutralização inadequada de scripts em atributos em uma página web permite cross-site scripting (XSS) armazenado por meio de valores de atributos HTML não escapados. A função make att1/2 em lib/earmark/transform.ex insere valores de atributos literalmente entre aspas duplas. Embora os nós de texto sejam processados por uma função de escape que codifica aspas duplas como ", os valores dos atributos ignoram esse caminho. Consequentemente, um link markdown que contenha aspas duplas na URL ou no título pode fechar o atributo prematuramente, permitindo que o navegador interprete os bytes subsequentes como novos atributos HTML e execute JavaScript arbitrário.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Enumeração de Fraquezas

CWE-83

Identificadores relacionados

CVE-2026-48591

Produtos afetados

Earmark

Referências · 5

• https://twitter.com/CVEnew/status/2067351027192418410 · Publicação no Twitter
• https://hex.pm/packages/earmark · Nota
• https://cna.erlef.org/cves/CVE-2026-48591.html · Nota
• https://osv.dev/vulnerability/EEF-CVE-2026-48591 · Aviso do Fabricante
• https://twitter.com/infoflowcloud/status/2067352051361669557 · Publicação no Twitter