JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-017359 Mistuneはレンダラーとプラグインを備えたPythonのMarkdownパーサーです。バージョン3.2.1以前のMistuneのmathプラグインは、インライン数式（$...$）およびブロック数式（$$...$$）を、ユーザーが提供した生の内容を直接HTML出力に連結してレンダリングしており、HTMLエスケープが行われていませんでした。この問題は、すべてのユーザー制御テキストがDOMに届く前にサニタイズされることを保証するために、明示的にescape=Trueでパーサが作成されている場合でも発生しました。この脆弱性はバージョン3.2.1で修正されました。 cpe:/a:mistune_project:mistune https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-017359.html Common Vulnerabilities and Exposures (CVE) CVE-2026-44708 https://www.cve.org/CVERecord?id=CVE-2026-44708 National Vulnerability Database (NVD) CVE-2026-44708 https://nvd.nist.gov/vuln/detail/CVE-2026-44708 GitHub Mistune Math Plugin XSS Escape Bypass Advisory lepture/mistune GitHub https://github.com/lepture/mistune/security/advisories/GHSA-8g87-j6q8-g93x JVNDB CWE-79 https://jvndb.jvn.jp/ja/cwe/CWE-79.html 関連文書 Release v3.2.1 lepture/mistune GitHub https://github.com/lepture/mistune/releases/tag/v3.2.1 2026-06-03T15:35:34+09:00 2026-06-03T15:35:34+09:00