XSS (Cross-Site Scripting) dans mistune (CVE-2026-44708)
Résumé
XSS dans mistune (CVE-2026-44708). Risque d'opérations non autorisées ou de divulgation. Exploitable via _escape.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Summary
The mistune math plugin renders inline math ($...$) and block math ($$...$$) by concatenating the raw user-supplied content directly into the HTML output without any HTML escaping. This occurs even when the parser is explicitly created with escape=True, which is supposed to guarantee that all user-controlled text is sanitised before reaching the DOM.
The result is a silent contract violation: a developer who enables escape=True reasonably expects complete XSS protection, but the math plugin operates as an independent render path that ignores the renderer's _escape flag entirely.
Details
File: src/mistune/plugins/math.py
def render_inline_math(renderer, text):
# `text` is raw user input — no escape() call anywhere
return r'\(' + text + r"\)"
def render_block_math(renderer, text):
# same issue for block-level $$...$$
return '$$\n' + text + "\n$$\n"
Both functions take text directly from the parsed token and concatenate it into the output string. Neither function:
- calls
escape(text)frommistune.util - checks
renderer._escape - calls
safe_entity(text)or any other sanitisation helper
The escape=True flag only influences the main HTMLRenderer methods (paragraph, heading, codespan, etc.). Plugin render functions registered via md.renderer.register() receive the renderer instance but have no mechanism that enforces the escape contract - they must opt in manually, and math.py does not.…
Source: GitHub Security Advisories (Global) NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-44708 a été découverte dans mistune.
Des attaquants peuvent cibler un point d'entrée spécifique comme _escape à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation. Score CVSS : 6.1/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « mistune CVE-2026-44708 » sur le site de l'éditeur.
CVE-2026-44708 (mistune) — CWE-79 / CVSS v3 6.1
Vecteur d'attaque : distant (réseau) / non authentifié
Surface d'attaque : _escape / text / mistune.util / renderer._escape
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une XSS (CWE-79) affecte mistune. Les attaquants atteignent le code vulnérable via _escape sans authentification.
Consultez l'avis de l'éditeur pour les versions affectées de mistune. Surface d'attaque : _escape / text / mistune.util / renderer._escape.
Gravité : Moyenne (CVSS 6.1/10). Risque d'opérations non autorisées ou de divulgation.
Mettre à jour vers la version corrigée selon l'avis éditeur.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'mistune' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
mistuneを grep し、稼働しているサービス・バージョンを把握する。 -
2Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
État des correctifs par distribution
Paquets corrigés publiés par chaque distribution pour cette CVE
- Debian DEBIAN-CVE-2026-44708 mistune
- Ubuntu UBUNTU-CVE-2026-44708 mistune
Références
- advisory nvd.nist.gov
- exploit github.com
- package github.com
- web github.com
- web security-advisories@github.com