CVE-2026-54326
CVE-2026-54326 · Pi: Potential XSS in HTML session exports via Markdown URL sanitization bypass
Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
Pi is a minimal terminal coding harness. From 0.74.0 until 0.78.1, Pi HTML exports render session Markdown into a static HTML file. It did not consistently reject unsafe Markdown link and image URL schemes. In versions with scheme filtering, C0 control characters in the URL scheme could bypass the check because browsers normalize those characters before navigation. This vulnerability is fixed in 0.78.1.
CVSS 2.5 · Низкий · EPSS 0,2% · Есть исправление
- Опубликовано
- Обновлено
Стек: node
Затронутые продукты и версии
pi
- Версии
- >= 0.74.0, < 0.78.1: Затронуто
Нет опубликованного исправления
@mariozechner/pi-coding-agent npm
- Затронутые диапазоны версий
- SEMVER: ≥ 0.27.5, ≤ 0.73.1
Нет опубликованного исправления
@earendil-works/pi-coding-agent npm
- Затронутые диапазоны версий
- SEMVER: ≥ 0.74.0, < 0.78.1
Обновитесь до 0.78.1