p PatchFirst

CVE-2026-104847

CVE-2026-104847 · ProseMirror: XSS vulnerability in prosemirror-view's paste handling

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

ProseMirror's view component renders and manages the editable browser interface for ProseMirror documents. Prior to 1.42.3, prosemirror-view paste handling accepts attacker-provided HTML whose clipboard slice context contains attributes that are not passed through schema attribute validation. When a user pastes the crafted HTML into an editor, the unvalidated context attributes can construct content that executes attacker-controlled JavaScript in the browser window containing the editor. This issue is fixed in version 1.42.3.

CVSS 8.5 · Высокий · EPSS 0,3% · Есть исправление

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • prosemirror-view

    Версии
    • < 1.42.3: Затронуто

    Нет опубликованного исправления

  • prosemirror-view npm

    Затронутые диапазоны версий
    • SEMVER: < 1.42.3

    Обновитесь до 1.42.3

Первоисточники

Проверьте свой сервер →