Media

Cross-site Scripting in Parsedown

Publicada: 30.03.2022
Actualizado: 11.10.2026 10:22

Parsedown version prior to 1.7.0 contains a Cross Site Scripting (XSS) vulnerability in setMarkupEscaped for escaping HTML that can result in JavaScript code execution. This attack appears to be exploitable via specially crafted markdown that allows it to side step HTML escaping by breaking AST boundaries. This vulnerability appears to have been fixed in 1.7.0 and later.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Paquete de Composer	erusev/parsedown	< 1.7.0	1.7.0

Referencias

Puntuación CVSS 6.1/10

Vector CVSS: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Debilidad (CWE): CWE-79
Plataforma: Composer
Paquete: erusev/parsedown
Publicada: 30.03.2022
Actualizado: 11.10.2026 10:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-qgpv-86r3-87fh - CC BY 4.0

Historial de vulnerabilidades: erusev/parsedown

Todas las vulnerabilidades publicadas de este paquete (Paquete de Composer), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Entradas en total: 2
Primera → última: 03.2022 03.2022
Sin corrección: 0
Explotada en ataques: 0

Distribución por gravedad

Alta 1
Media 1

Divulgaciones por año

2022: 2
2023: 0
2024: 0
2025: 0
2026: 0

30.03.2022

Cross-site Scripting in Parsedown esta entrada

Media · 6.1 CVE-2018-1000162 < 1.7.0 1.7.0
26.03.2022

Parsedown Class-Name Injection

Alta · 8.1 CVE-2019-10905 < 1.7.2 1.7.2

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación