یک آسیب‌پذیری از نوع Cross-Site Scripting (XSS) در کتابخانه Showdown (تا نسخه 2.1.0) شناسایی شده است که با شناسه CVE-2026-104477 ثبت شده است.
جزئیات فنی
این نقص امنیتی در بخش‌های makehtml link و image subparsers رخ می‌دهد. مشکل اصلی این است که این بخش‌ها در هنگام پردازش URLهای مقصد در ویژگی‌های href و src، کاراکترهای نقل‌قول دوگانه (Double Quotes) را به درستی Escape نمی‌کنند.
سناریوی حمله
مهاجمان می‌توانند با طراحی لینک‌ها یا تصاویر Markdown که حاوی نقل‌قول دوگانه و دنباله‌شده با هندلرهای جاوااسکریپتی مانند onerror یا onmouseover هستند، کدهای مخرب خود را اجرا کنند. این کدها زمانی فعال می‌شوند که کاربر قربانی، نسخه رندر شده HTML را مشاهده کند.
توصیه امنیتی
به کاربران و توسعه‌دهگانی که از این کتابخانه برای تبدیل Markdown به HTML استفاده می‌کنند، توصیه می‌شود سریعاً نسخه خود را به آخرین ورژن به‌روزرسانی کنند تا از اجرای غیرمجاز اسکریپت‌ها در مرورگر کاربران جلوگیری شود.
