CVE-2026-104847: XSS в обработке вставки prosemirror-view

В библиотеке ProseMirror, широко используемой для построения редакторов с богатым форматированием, выявлена уязвимость межсайтового скриптинга (XSS), связанная с обработкой вставки содержимого из буфера обмена. Проблеме присвоен идентификатор CVE-2026-104847, базовая оценка CVSS составляет 8.5 (HIGH).

Подробности

Уязвимость затрагивает компонент prosemirror-view — часть ProseMirror, отвечающую за отрисовку и управление редактируемым интерфейсом в браузере. Проблема присутствует в версиях до 1.42.3.

При вставке HTML-содержимого prosemirror-view принимает подготовленную атакующим разметку, в которой контекст среза буфера обмена (clipboard slice context) содержит атрибуты, не проходящие проверку по схеме документа. Поскольку эти атрибуты контекста не валидируются должным образом, при вставке такого HTML в редактор может быть сформировано содержимое, способное выполнить контролируемый атакующим JavaScript в окне браузера, где открыт редактор.

Таким образом, для эксплуатации достаточно, чтобы пользователь вставил в редактор специально сформированный HTML-фрагмент — например, скопированный со страницы, подконтрольной злоумышленнику. Успешная эксплуатация приводит к выполнению произвольного скрипта в контексте окна редактора, что может вести к краже данных сессии, манипуляциям с содержимым документа или иным действиям от имени пользователя.

Оценка CVSS 8.5 (HIGH) отражает высокую опасность уязвимости при относительно невысокой сложности эксплуатации, требующей взаимодействия пользователя (вставки вредоносного содержимого).

Что делать

Производитель устранил проблему в версии 1.42.3. Основная рекомендация — обновить prosemirror-view до 1.42.3 или более новой версии.

• Обновите зависимость prosemirror-view до версии 1.42.3+ и пересоберите приложение.
• Проверьте транзитивные зависимости: если prosemirror-view подключён косвенно через другие пакеты экосистемы ProseMirror, убедитесь, что в дереве зависимостей отсутствуют уязвимые версии.
• До обновления в качестве временной митигации можно ограничить вставку недоверенного HTML: использовать санитизацию вставляемого содержимого или разрешать вставку только из доверенных источников.
• Дополнительно применяйте CSP (Content Security Policy), ограничивающую выполнение inline-скриптов, — это снижает риск эксплуатации, но не заменяет обновление.

Уязвимость CVE-2026-104847 в prosemirror-view относится к классу XSS и позволяет выполнить произвольный JavaScript при вставке подготовленного HTML в редактор. Учитывая высокую оценку CVSS 8.5, обновление до версии 1.42.3 следует провести в приоритетном порядке, а до его установки — ограничить вставку недоверенного содержимого.

Источник: CVE Project (cvelistV5)