高危Markdown转PDF漏洞可通过Markdown前置元数据实现JS注入攻击（CVE-2025-65108，CVSS 10.0）

FreeBuf网络安全行业门户 ·

2025年11月24日，npm包md-to-pdf被曝出高危漏洞（CVE-2025-65108），攻击者可通过恶意元数据执行任意JavaScript代码。使用该包处理不可信Markdown的应用存在风险，用户应立即升级至安全版本。

JavaScript Markdown cve js md-to-pdf pdf 升级漏洞

原文中文，约1100字，阅读约需3分钟。