Mistune: Path Traversal und Cross-Site Scripting in Include-Direktive

Zusammenfassung

Mistune ist ein Python-Parser für Markdown, der als Bibliothek in Anwendungen eingesetzt wird. Vor Version 3.3.0 prüft die Include-Direktive die Dateipfade nicht, sodass ein Angreifer mit ../-Sequenzen beliebige Dateien lesen kann. Fehlermeldungen und eingebundene Dateiinhalte werden zudem nicht HTML-kodiert, was auch bei escape=True Cross-Site Scripting ermöglicht. Das Include-Plugin muss explizit aktiviert werden, und das Risiko ist dort am höchsten, wo unbekannte Benutzer Markdown einreichen können.

Betroffen

• Python-Paket mistune, alle Versionen vor 3.3.0
• Nur relevant, wenn das Include-Plugin aktiviert ist

Behoben in

• Auf mistune 3.3.0 oder neuer aktualisieren
• Hinweis zu einer Regression (Drittmeldung): Die Versionen 3.3.0 bis 3.3.3 entfernen möglicherweise die Validierung der GFM-Tabellen-Trennzeile; 3.3.4 oder neuer wird bevorzugt, vor dem Update testen

Umgehung

• Das Include-Plugin bis zur Aktualisierung deaktivieren
• Kein unbekanntes Markdown rendern, solange das Include-Plugin aktiviert ist
• Den Rendering-Prozess nur mit Lesezugriff auf die benötigten Dateien betreiben

Ausnutzung

• Nicht im CISA-KEV-Katalog gelistet; keine Quelle meldet Ausnutzung in freier Wildbahn
• Kein öffentlicher Proof of Concept gefunden
• Eine Datenbank stuft die Ausnutzung als einfach und remote auslösbar ein (vom Maintainer nicht bestätigt)

Unsere Empfehlung

• Anwendungen und Container-Images, einschliesslich transitiver Abhängigkeiten (zum Beispiel Jupyter/nbconvert), auf mistune-Versionen unter 3.3.0 prüfen
• Auf 3.3.4 oder neuer aktualisieren und das Rendering von Markdown anschliessend testen
• Falls ein sofortiges Update nicht möglich ist, das Include-Plugin deaktivieren
• Prüfen, ob unbekannte Benutzer Markdown in Ihre Webanwendungen einreichen können
• Auf verwandte Advisories wie CVE-2026-115350 und CVE-2026-115353 achten, die im selben Release behoben sind

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-h7ww-273w-6cm8 github.com
• VulnCheck Advisory: Mistune before 3.3.0 Path Traversal and XSS via Include Directive www.vulncheck.com
• Ubuntu Security: CVE-2026-115355 ubuntu.com
• GitLab Advisory Database: CVE-2026-115355 advisories.gitlab.com
• OSV: GHSA-h7ww-273w-6cm8 osv.dev
• VulDB: CVE-2026-115355 entry vuldb.com
• OSV: PYSEC-2026-2215 osv.dev
• Airut PR 661 (regression report) github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:40.