关键信息 漏洞概述 CVE ID: CVE-2025-29049 GHSA ID: GHSA-qwj6-q94f-8425 严重性: 中等 (CVSS v3: 6.3/10) 受影响版本: <= 0.103.0 修复版本: 0.104.0 描述 总结: MathLive 在渲染 LaTeX 表达式时，由于缺乏对 HTML 的转义，导致可以通过 命令进行 XSS 攻击。 详细信息: 代码中除了 文件夹外，没有函数对 HTML 进行转义。 PoC 1. 访问 https://cortexjs.io/mathlive/demo/ 2. 在 LaTeX 文本区域粘贴以下内容之一： - - 影响 使用 MathLive 渲染不可信数学表达式的用户可能会遇到恶意输入，导致任意 JavaScript 执行或生成无效 HTML。 引用 GHSA-qwj6-q94f-8425 arnog/mathlive@abc2695 NVD Detail 时间线 发布日期: 2023年1月19日 GitHub Advisory Database 发布日期: 2023年1月22日 审核日期: 2023年1月22日 最后更新: 上周