PT-2026-56512 · Pypi · Mistune

Publicado 2026-07-08 · Atualizado 2026-07-08 · CVE-2026-59929

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Mistune versões anteriores a 3.3.0

Description O filtro safe url em src/mistune/renderers/html.py não bloqueia diversos esquemas de URI legados ou encadeados. Embora restrinja javascript:, vbscript:, file: e data:, ele permite que esquemas como feed:, view-source:, jar:, livescript:, mocha:, ms-its:, mk: e res: sejam incluídos nos atributos href e src renderizados. Isso pode permitir a execução de scripts em agentes de usuário afetados.

Recommendations Atualize para a versão 3.3.0.

Correção

Incomplete List of Disallowed Inputs

XSS

Enumeração de Fraquezas

CWE-184

CWE-79

Identificadores relacionados

CVE-2026-59929

Produtos afetados

Mistune

Referências · 6

• https://github.com/lepture/mistune/releases/tag/v3.3.0 · Nota
• https://github.com/lepture/mistune/commit/c7101fcbb6e8790e8e39157c5ca2238fc6dd6cbc · Nota
• https://github.com/lepture/mistune/security/advisories/GHSA-qfrw-5rxm-mhh2 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-59929 · Nota de Segurança
• https://twitter.com/CVEnew/status/2074931624609788243 · Publicação no Twitter
• https://twitter.com/infoflowcloud/status/2074933072114442347 · Publicação no Twitter