JVNDB-2026-032887

The League of Extraordinary PackagesのCommonMarkにおけるクロスサイトスクリプティングの脆弱性

league/commonmark（thephpleague/commonmark）のバージョン2.7.0以上2.9.1未満には、AttributesExtensionにクロスサイトスクリプティング（XSS）の脆弱性が存在します。属性名の先頭に単一のU+000Cフォームフィードバイト（例：{"\x0Conclick=\"alert(1)\""}）を付けることで、PHPのtrim()関数がU+000Cを除去しないため、AttributesHelper::filterAttributes()の'on*'イベントハンドラーフィルターを回避できます。その結果、属性がそのまま出力に書き込まれ、ブラウザはそれを正規のイベントハンドラーとして解析してしまいます。同じプレフィックスはallow_unsafe_linksチェックも無効化し、allow_unsafe_linksがfalseの場合でもhrefやsrc属性を通じてjavascript:URIを許可してしまいます。攻撃の成功には、AttributesExtensionが有効化された状態で信頼されていないMarkdownを処理する必要があり、挿入されたスクリプトはレンダリングされたHTMLが閲覧されたときに実行されます。この問題はバージョン2.9.1で修正されました。

The League of Extraordinary Packages

• CommonMark 2.7.0 以上 2.9.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : XSS: `on*` event-handler filter in `AttributesExtension` bypassed with a U+000C form feed  Advisory  thephpleague/commonmark  GitHub

VulnCheck

• VulnCheck : commonmark before 2.9.1 XSS via AttributesExtension form feed bypass  | Advisories | VulnCheck

1. クロスサイトスクリプティング(CWE-79) [その他]

1. CVE-2026-86431

1. National Vulnerability Database (NVD) : CVE-2026-86431
2. 関連文書 : Fix XSS in AttributesExtension  thephpleague/commonmark@4320725  GitHub

• [2026年09月11日]
    掲載