Anmelden
Deutsch English Español Polski
Mittel

PHP League CommonMark vulnerable to Cross-Site Scripting (XSS)

  • Veröffentlicht: 14.05.2022
  • Aktualisiert: 11.10.2026 10:22

Cross-site scripting (XSS) vulnerability in the PHP League CommonMark library versions 0.15.6 through 0.18.x before 0.18.1 allows remote attackers to insert unsafe URLs into HTML (even if allow_unsafe_links is false) via a newline character (e.g., writing javascript as javascri%0apt).

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Composer-Paket league/commonmark >= 0.15.6, < 0.18.1 0.18.1

Verweise

CVSS-Wert 6.1/10
CVSS-Vektor
CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Schwäche (CWE)
CWE-79
Plattform
Composer
Paket
league/commonmark
Veröffentlicht
14.05.2022
Aktualisiert
11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-qx76-c53f-5c7q - CC BY 4.0

Schwachstellenhistorie: league/commonmark

Alle veröffentlichten Schwachstellen dieses Pakets (Composer-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (18) im Archiv
Einträge insgesamt
18
Erste → letzte
09.2019 09.2026
Ohne Fix
0
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Hoch 10
  • Mittel 8

Veröffentlichungen pro Jahr

Schweregrad:
  1. league/commonmark: Quadratic-time denial of service in the GitHub Flavored Markdown Table extension block-start scan
    Hoch · 7.5 CVE-2026-105830 >= 2.0.0, < 2.10.2 2.10.2
  2. league/commonmark: Denial of service via distinctly-named attributes in the Attributes extension
    Hoch · 7.5 CVE-2026-86428 >= 1.5.0, < 2.10.0 2.10.0
  3. league/commonmark: Denial of service in the SmartPunct and Attributes extensions
    Hoch · 7.5 CVE-2026-86429 >= 1.5.0, < 2.9.1 2.9.1
  4. league/commonmark XSS: `on*` event-handler filter in `AttributesExtension` bypassed with a U+000C form feed
    Hoch · 7.2 CVE-2026-86431 >= 2.7.0, < 2.9.1 2.9.1
  5. league/commonmark: Denial of service via crafted code fences, reference links, and emphasis delimiters
    Hoch · 7.5 CVE-2026-86430 >= 0.6.0, < 2.9.1 2.9.1
  6. league/commonmark: Denial of service via colliding heading slugs
    Hoch · 7.5 CVE-2026-86434 >= 2.0.0, < 2.9.0 2.9.0
  7. league/commonmark: Denial of service via duplicate footnote definitions
    Hoch · 7.5 ghsa-jfm3-95jq-q3rf >= 1.5.0, < 2.9.0 2.9.0
  8. league/commonmark: Denial of service via adjacent inline attribute blocks
    Hoch · 7.5 ghsa-g2gp-3wwq-f4ph >= 1.5.0, < 2.9.0 2.9.0
  9. league/commonmark: Quadratic-time denial of service when parsing crafted Markdown
    Hoch · 7.5 CVE-2026-71488 >= 0.6.0, < 2.9.0 2.9.0
  10. league/commonmark's quadratic complexity bugs may lead to a denial of service
    Hoch · 7.5 CVE-2024-58382 < 2.6.0 2.6.0
  11. PHP League CommonMark vulnerable to Cross-Site Scripting (XSS) dieser Eintrag
    Mittel · 6.1 CVE-2018-20583 >= 0.15.6, < 0.18.1 0.18.1

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.