Material for MkDocs: DOM XSS in search suggestions via query parameter
Impact
Material for MkDocs 7.2.0 through 9.7.6 contains a DOM-based cross-site scripting vulnerability in the optional search.suggest feature. A crafted q URL parameter could execute JavaScript in the documentation site's origin after user interaction.
Patches
The issue is fixed in Material for MkDocs 9.7.7. Users should upgrade to 9.7.7 or later.
Workarounds
Sites unable to upgrade should disable the search.suggest feature.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Python (PyPI) | mkdocs-material | >= 7.2.0, < 9.7.7 | 9.7.7 |
Odnośniki
- https://github.com/squidfunk/mkdocs-material/security/advisories/GHSA-xvg9-69gf-fjrf
- https://nvd.nist.gov/vuln/detail/CVE-2026-73295
- https://github.com/squidfunk/mkdocs-material/commit/52fb6be8aafe326419f34dc94d3211e7bbfbfb25
- https://github.com/squidfunk/mkdocs-material
- https://github.com/squidfunk/mkdocs-material/releases/tag/9.7.7
- https://pypi.org/project/mkdocs-material
- https://github.com/advisories/GHSA-xvg9-69gf-fjrf
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N- Słabość (CWE)
CWE-79- Platforma
- Python (PyPI)
- Paczka
mkdocs-material- Ujawniono
- 03.09.2026
- Aktualizacja
- 11.10.2026 15:18
Źródła i licencje
OSV / GitHub Advisory Database - PYSEC-2026-3864 - PyPA Advisory Database; CC BY 4.0
OSV / GitHub Advisory Database - GHSA-xvg9-69gf-fjrf - CC BY 4.0
Historia podatności: mkdocs-material
Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
To jedyna znana podatność tej paczki.
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.