漏洞总结 漏洞概述 Mermaid.js 存在 CSS 注入漏洞。由于 Mermaid 使用字符串拼接的方式创建 CSS 样式,攻击者可以通过构造恶意的 CSS 注入到 SVG 中,导致 CSS 注入漏洞。 影响范围 使用 Mermaid.js 渲染图表的 Web 应用。 特别是那些允许用户输入并渲染为图表的场景。 修复方案 使用 CSSOM(CSS Object Model)来创建 CSS 样式,而不是直接拼接字符串。这样可以避免 CSS 注入漏洞。 修复代码示例 相关代码变更 在 文件中,修改了测试用例以验证新的 CSS 创建方式: 其他相关变更 更新了 中的测试用例,确保 CSS 注入漏洞被修复。 更新了 中的测试用例,验证新的 CSS 创建方式。 参考链接 CSSOM API 文档 Mermaid.js 官方文档