| CVE | CVE-2026-44401 |
| CWE | CWE-79（Web 页面生成过程中对输入的错误中和） |
| 受影响版本 | typemill/typemill >= 2.0.0, < 2.23.0 |
| 修复版本 | v2.23.0（提交 31b72ea） |
| 认证要求 | 是，任何具有 system:update ACL 权限的角色（默认为 admin 或 manager） |
| CVSS（报告方） | 7.6 / 中高（Medium-High） |
| CVSS-B (VulnCheck, v4.0) | 4.6 CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:A/VC:N/VI:L/VA:L/SC:N/SI:L/SA:L |
| 致谢 | sn0x（@sn0x-sharma） |
| 公告 | VulnCheck |
评分为中危（Medium）而非严重（Critical），因为它需要
PR:H（主题配置权限）+UI:A（受害者必须点击链接）——但有效载荷是存储型的，因此每个点击链接的访问者都会触发。
Typemill 是一款平面文件 Markdown CMS。其 Markdown 解析器在将链接目标写入 href 属性之前，不会验证链接目标的 URI 协议（scheme）。具有主题配置权限的用户（例如 Landingpage Intro Segment 文本字段，该字段接受原始 Markdown）可以存储 javascript: 链接。该链接会在公共主页上未经转义地渲染，并在任何点击它的访问者的浏览器中执行——持久型（存储型）XSS。
ParsedownExtension::inlineLink() — system/typemill/Extensions/ParsedownExtension.php，第 934–996 行（v2.22.0，最后一个存在漏洞的标签）。
相对链接和 media/ 链接会加上基础 URL 前缀，但在将其赋给 href 之前，没有任何代码检查 URI 协议（scheme）：
# start typemill: if relative link or media-link
$href = $matches[1];
if($href[0] == '/')
{
$href = $this->baseUrl . $href;
}
elseif(substr( $href, 0, 6 ) === "media/")
{
$href = $this->baseUrl . '/' . $href;
}
# end typemill
$Element['attributes']['href'] = $href; // <-- no scheme validation
[Click me](javascript:alert(document.domain)) → <a href="javascript:alert(document.domain)">Click me</a>。
此特定 sink 的渲染路径：themes/cyanine/home/landingpageIntro.twig → TwigMarkdownExtension.php → ParsedownExtension.php。任何其他通过同一解析器处理用户 Markdown 的主题字段也同样受影响。
# end typemill
-
+
+ # block dangerous URI schemes (e.g. javascript:, vbscript:, data:)
+ $scheme = parse_url($href, PHP_URL_SCHEME);
+ if ($scheme !== null && !in_array(strtolower($scheme), ['http', 'https', 'mailto', 'ftp'], true))
+ {
+ $href = '#';
+ }
+
$Element['attributes']['href'] = $href;
与原始报告中提出的允许列表（http、https、mailto、ftp）一致。通过对比 v2.22.0 和 v2.23.0 标签之间的 ParsedownExtension.php 差异，确认了修复内容。
主题设置路由（GET /tm/themes、POST /api/v1/theme）受 system/update ACL 资源门控——根据 Typemill 自身的路由定义（routes/web.php、routes/api.php），该权限默认授予 manager 角色，而不仅仅是 admin。因此，受影响的范围不仅限于顶级管理员账户。
以具有主题配置权限的用户身份登录 → 系统 → 主题 → 配置（当前主题，例如 Cyanine）。
展开 Landingpage Intro Segment → 在 "Text for your landingpage intro (use markdown)" 中输入：
[Click me](javascript:alert(document.domain))
保存。以任意用户身份访问主页并点击该链接 → JS 会在该访问者的会话中执行。
CVE-2026-44401_POC.py - 两种模式：
# Offline: exercises the parser directly against a Typemill checkout
# (composer install already run, so vendor/ exists)
python3 CVE-2026-44401_POC.py local --source /path/to/typemill
# ...or straight against a running container, same way it was originally verified
python3 CVE-2026-44401_POC.py local --docker typemill --container-path /var/www/html
# Live: logs in, stores the payload via the theme-settings API, confirms the
# raw javascript: href on the public homepage, restores the original value
python3 CVE-2026-44401_POC.py remote --url http://localhost:8080 \
--username admin --password '********'
最小手动复现（报告验证时所用的方式）：
php -r '
require "vendor/autoload.php";
require "system/typemill/Extensions/ParsedownExtension.php";
$p = new \Typemill\Extensions\ParsedownExtension("",[],null);
echo $p->markup($p->text("[x](javascript:alert(1))"));
'
# vulnerable: <p><a href="javascript:alert(1)">x</a></p>
# patched: <p><a href="#">x</a></p>