issue处理注意事项:
1. 提交正常修复分支的修复PR时,必须关联当前issue,否则无法关闭当前issue;
2. 模板内容需要填写完整, 无论是受影响或者不受影响都需要填写完整内容;
3. 以下为模板中需要填写完整的内容, 请复制到评论区回复;
注: 内容的关键词(影响性分析说明, openEuler评分, 受影响版本排查(受影响/不受影响), 修复是否涉及abi变化(是/否), 原因说明)不能省略,省略后cve-manager将无法正常解析填写内容.

影响性分析说明:

openEuler评分: (评分和向量)

受影响版本排查(受影响/不受影响):
1.master(3.4.0):
2.openEuler-20.03-LTS-SP4(0.8.3):
3.openEuler-22.03-LTS-SP4(0.8.3):
4.openEuler-24.03-LTS-Next(2.0.4):
5.openEuler-24.03-LTS-SP1(2.0.4):
6.openEuler-24.03-LTS-SP3(2.0.4):
7.openEuler-24.03-LTS-SP4(2.0.4):

修复是否涉及abi变化(是/否)：
1.master(3.4.0):
2.openEuler-20.03-LTS-SP4(0.8.3):
3.openEuler-22.03-LTS-SP4(0.8.3):
4.openEuler-24.03-LTS-Next(2.0.4):
5.openEuler-24.03-LTS-SP1(2.0.4):
6.openEuler-24.03-LTS-SP3(2.0.4):
7.openEuler-24.03-LTS-SP4(2.0.4):

原因说明：
1.master(3.4.0):
2.openEuler-20.03-LTS-SP4(0.8.3):
3.openEuler-22.03-LTS-SP4(0.8.3):
4.openEuler-24.03-LTS-Next(2.0.4):
5.openEuler-24.03-LTS-SP1(2.0.4):
6.openEuler-24.03-LTS-SP3(2.0.4):
7.openEuler-24.03-LTS-SP4(2.0.4):

原因说明填写请参考下方表格(注意：版本是否受影响和版本的原因说明必须对应，例如master版本分支受影响，那原因说明只能是受影响对应的原因之一!)：

issue处理具体操作请参考:
https://atomgit.com/openeuler/cve-manager/blob/master/cve-vulner-manager/doc/md/manual.md
pr关联issue具体操作请参考:
https://docs.atomgit.com/docs/help/home/org_project/pullrequests/pr-related-issue

说明：抱歉，当前工具暂未找到推荐补丁，请人工查找或者之后评论'/find-patch'尝试再次查找。
若人工查找到补丁，烦请在此issue下评论 '/report-patch 参考网址 补丁链接1,补丁链接2' 便于我们不断优化工具，不胜感激。
如 /report-patch https://security-tracker.debian.org/tracker/CVE-2021-3997 https://github.com/systemd/systemd/commit/5b1cf7a9be37e20133c0208005274ce4a5b5c6a1

Welcome To openEuler Community

Hey @openeuler-ci-bot , thanks for your contribution to the community.

Bot Usage Manual

I'm the Bot here serving you. You can find the instructions on how to interact with me at Here . That means you can comment below every pull request or issue to trigger Bot Commands. You can self-configure the PR merge rules for this repository. For more details, please refer to Here.

Contact Guide

If you have any questions, please contact the SIG: sig-python-modules ,
and any of the maintainers: @shinwell_hu, @yangzhao_kl ,
and any of the committers: @cherry530, @randy1568, @starlet-dx .

漏洞分析（2026-10-30）

漏洞：Figure 指令 CSS 注入（CWE-94）。figwidth 选项未做校验，攻击者控制 Markdown 输入时可在渲染出的 figure style 属性中追加任意样式声明（如 background:url(https://attacker/…)），强迫受害者浏览器向攻击者服务器发起请求并外带属性值，造成信息泄露。

严重度：CVSS v4 5.3 (Medium) / v3.1 4.7；EPSS ~0.19%（13 分位）；未收录 CISA KEV，无公开在野利用。

影响版本：仅 3.2.1 ≤ v < 3.3.0（figure 指令 3.2.1 才引入），已在 3.3.0 修复（fix commit 15c3b79325125272263d7d42492ec8f757447191）。

触发前提：需应用显式启用 figure 插件（非默认）并渲染不可信 Markdown。

openEuler 受影响情况

处理结论

暂不修复。当前各发布分支要么低于 3.2.1（不含 figure 指令）、要么已 ≥ 3.3.0（已含修复），均不在受影响范围内；且未收录 CISA KEV、EPSS 低、无公开在野利用。

🔍 CVE 项目匹配性分析结果

CVE: CVE-2026-115351

针对分支: openEuler-24.03-LTS-SP4

结果: ❌ 不匹配

原因: CVE-2026-115351 真实存在（NVD totalResults=1，MITRE PUBLISHED，Issue 引用的 GHSA-xmwc-wjpr-q378 网页可访问且描述 CSS injection；全局 API 404 是仓库级 advisory 的已知限制）。组件匹配：CVE 归属 pkg:pypi/mistune，与 openEuler 包 python-mistune 一致。但版本不匹配：受影响范围为 3.2.1 ≤ v < 3.3.0（figwidth 未校验注入 style 属性），SP4 分支当前版本 2.0.4 低于引入版本。代码级验证排除误判：对 PyPI mistune-2.0.4.tar.gz 全树 grep 漏洞签名 figwidth 零命中，2.0.4 的 directives 仅 admonition/base/include/toc，不存在带 figwidth 选项的 figure/image 指令（该文件及选项于 3.x 引入）；对照 3.2.1 存在漏洞签名 image.py:166-167，3.3.0 已加 _num_re.fullmatch 校验。漏洞代码在当前版本不存在 → NOT_MATCHED。

说明:

• 此结论仅针对上述分支；仓库包含多个分支，其他分支是否受影响请维护者结合各分支实际情况判断
• 如有疑问，请联系安全团队确认

此评论由 Claude Agent Team（项目经理）自动生成

✅ CVE 修复已由现有 PR 覆盖（同一方案）

CVE: CVE-2026-115351

针对分支: openEuler-24.03-LTS-SP1

修复 PR: https://gitcode.com/src-openeuler/python-mistune/merge_requests/48

说明:

• 本仓库当期已有同方案的修复 PR，本 CVE 的修复已包含其中，无需重复提交
• 此结论仅针对上述分支；其他分支是否受影响请维护者结合各分支实际情况判断

此评论由 Claude Agent Team 自动生成

影响性分析说明：
Mistune from 3.2.1 before 3.3.0 contains a CSS injection vulnerability that allows attackers controlling markdown input to inject arbitrary style declarations via the unvalidated figwidth option of the figure directive. Attackers can append declarations like background:url() to the rendered figure style attribute, forcing victim browsers to send requests to attacker servers and leak attribute values.
官方修复版本为 3.3.0（GHSA-xmwc-wjpr-q378），受影响范围为 3.2.1 至 3.3.0 之前。openEuler master 分支已升级至 3.3.2 以上（当前 3.4.0）完成修复；openEuler-20.03/22.03 分支（0.8.3）与 openEuler-24.03 系列分支（2.0.4）版本均低于 3.2.1，figure 指令的 figwidth 特性不存在，不受影响。

openEuler评分：4.7 Medium
BaseScore：4.7
Vector：CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:N/A:N

受影响版本排查(受影响/不受影响)：
1.master(3.4.0):受影响
2.openEuler-20.03-LTS-SP4(0.8.3):不受影响
3.openEuler-22.03-LTS-SP4(0.8.3):不受影响
4.openEuler-24.03-LTS-Next(2.0.4):不受影响
5.openEuler-24.03-LTS-SP1(2.0.4):不受影响
6.openEuler-24.03-LTS-SP3(2.0.4):不受影响
7.openEuler-24.03-LTS-SP4(2.0.4):不受影响

修复是否涉及abi变化(是/否)：
1.master(3.4.0):否
2.openEuler-20.03-LTS-SP4(0.8.3):否
3.openEuler-22.03-LTS-SP4(0.8.3):否
4.openEuler-24.03-LTS-Next(2.0.4):否
5.openEuler-24.03-LTS-SP1(2.0.4):否
6.openEuler-24.03-LTS-SP3(2.0.4):否
7.openEuler-24.03-LTS-SP4(2.0.4):否

原因说明：
1.master(3.4.0):正常修复
2.openEuler-20.03-LTS-SP4(0.8.3):不受影响-漏洞代码不存在
3.openEuler-22.03-LTS-SP4(0.8.3):不受影响-漏洞代码不存在
4.openEuler-24.03-LTS-Next(2.0.4):不受影响-漏洞代码不存在
5.openEuler-24.03-LTS-SP1(2.0.4):不受影响-漏洞代码不存在
6.openEuler-24.03-LTS-SP3(2.0.4):不受影响-漏洞代码不存在
7.openEuler-24.03-LTS-SP4(2.0.4):不受影响-漏洞代码不存在

@gitee-cmd, @zhujianwei001, @luoyukai, @kylincuilei, @tanjingguo, @tangjie, @mailofzxf, @zeng-wei2000, @Sam-Luo The CVE score needs to be reviewed (the review instruction /approve or /reject means agreement and rejection).

@cherry530 ,请给出NVD评分和openEuler评分不一致的理由

评分不一致理由：issue body 中 NVD 评分（5.3 Medium，CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N）为 CVSS v4 版本；openEuler 评分采用 CVSS v3.1 版本（4.7 Medium，CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:N/A:N）。两者差异仅因 CVSS v3 与 v4 度量模型版本不同（UserInteraction、Scope 等度量项评分标准存在差异），严重级别结论一致（均为 Medium）。

经过 cve-manager 解析 openEuler评分 已改变 需要您及时进行审核,以便maintainer进行后续操作.