Injection de code dans mermaid (CVE-2026-50159)
Résumé
Injection de code dans mermaid (CVE-2026-50159). Risque d'opérations non autorisées ou de divulgation. Exploitable via secure. Atténuation : mise à jour vers 10.9.8 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Summary
Mermaid does not fully restrict CSS to the rendered SVG subtree. Although selectors are prefixed with #mermaid-X, sibling (~ and +) combinators can still escape the Mermaid container and inject styles to DOM elements adjacent to the diagram ``.
Most users of mermaid would not be affected by this, as mermaid adds its as an only child of it's parent element. However, you may be affected if you manually insert the (or other elements) into the DOM yourself.
Details
Mermaid namespaces CSS through with a middleware intended to scope all rules to the diagram's SVG element. CSS nesting expands & ~ * { ... } to #svgId ~ *, which selects all sibling elements following the SVG in the DOM, outside the diagram boundary.
Impact
An attacker able to supply diagram source to a page (e.g., user-generated content rendered by Mermaid) could inject CSS rules affecting sibling elements to the diagram `` on the host page. This can be used for UI redressing, hiding content, conditional CSS-based probing, or phishing-style visual manipulation.
JavaScript execution is not possible via this vector.
Patches
This has been patched in https://github.com/mermaid-js/mermaid/commit/12d472c9ed43f94814b110da8d7a9ae6dd5266ed and released in Mermaid v11.16.1.
A backport has been made for the v10 branch in 7e83f1533318b307764d961906a73377266f4c5e and was released in [Mermaid v10.9.8](https:…
Source: GitHub Security Advisories (Global) NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-50159 a été découverte dans mermaid.
Des attaquants peuvent cibler un point d'entrée spécifique comme secure à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation.
Action : mettez à jour mermaid vers 10.9.8 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « mermaid CVE-2026-50159 » sur le site de l'éditeur.
CVE-2026-50159 (mermaid) — CWE-94
Surface d'attaque : secure / fontFamily / themeCSS / altFontFamily
Correctif : 10.9.8 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une exécution de code arbitraire (CWE-94) affecte mermaid. Les attaquants atteignent le code vulnérable via secure.
Consultez l'avis de l'éditeur pour les versions affectées de mermaid. Surface d'attaque : secure / fontFamily / themeCSS / altFontFamily.
Gravité : ?. Risque d'opérations non autorisées ou de divulgation.
Mettre à jour vers 10.9.8.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'mermaid' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
mermaidを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade mermaid to 10.9.8ステージング環境で 10.9.8 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
État des correctifs par distribution
Paquets corrigés publiés par chaque distribution pour cette CVE
- Debian DEBIAN-CVE-2026-50159 node-mermaid
- Ubuntu UBUNTU-CVE-2026-50159 node-mermaid