概要
league/commonmark（thephpleague/commonmark）のバージョン2.7.0以上2.9.1未満には、AttributesExtensionにクロスサイトスクリプティング（XSS）の脆弱性が存在します。属性名の先頭に単一のU+000Cフォームフィードバイト（例：{“x0Conclick=”alert(1)””}）を付けることで、PHPのtrim()関数がU+000Cを除去しないため、AttributesHelper::filterAttributes()の’on*’イベントハンドラーフィルターを回避できます。その結果、属性がそのまま出力に書き込まれ、ブラウザはそれを正規のイベントハンドラーとして解析してしまいます。同じプレフィックスはallow_unsafe_linksチェックも無効化し、allow_unsafe_linksがfalseの場合でもhrefやsrc属性を通じてjavascript:URIを許可してしまいます。攻撃の成功には、AttributesExtensionが有効化された状態で信頼されていないMarkdownを処理する必要があり、挿入されたスクリプトはレンダリングされたHTMLが閲覧されたときに実行されます。この問題はバージョン2.9.1で修正されました。
技術情報
- 公開日: 2026-09-11T11:02:48+09:00
- 更新日: 2026-09-11T11:02:48+09:00
参考リンク
対処方法
該当ソフトウェアの最新版への更新、または開発元が提供する緩和策の適用を推奨します。運用環境に応じて事前検証の上で実施してください。
免責
本記事は公開情報をもとに自動集約された速報です。正確性・完全性は保証できません。必ず一次情報（上記リンク等）をご確認ください。