JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-017356 Mistuneはレンダラーとプラグインを備えたPython製Markdownパーサーです。バージョン3.2.1以前のHTMLRenderer.heading()は、id属性の値を直接文字列連結してhNタグを生成しており、escape()、safe_entity()、その他のサニタイズ関数を呼び出していませんでした。id値に含まれる二重引用符 " は属性の終了を引き起こし、攻撃者が任意の追加属性（イベントハンドラ、src=、href=など）を見出し要素に注入できる可能性がありました。この脆弱性はバージョン3.2.1で修正されました。 cpe:/a:mistune_project:mistune https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-017356.html Common Vulnerabilities and Exposures (CVE) CVE-2026-44897 https://www.cve.org/CVERecord?id=CVE-2026-44897 National Vulnerability Database (NVD) CVE-2026-44897 https://nvd.nist.gov/vuln/detail/CVE-2026-44897 GitHub Mistune Heading ID Attribute Injection XSS Advisory lepture/mistune GitHub https://github.com/lepture/mistune/security/advisories/GHSA-v87v-83h2-53w7 JVNDB CWE-79 https://jvndb.jvn.jp/ja/cwe/CWE-79.html 関連文書 Release v3.2.1 lepture/mistune GitHub https://github.com/lepture/mistune/releases/tag/v3.2.1 2026-06-03T15:35:25+09:00 2026-06-03T15:35:25+09:00