バージョン2.10.4より前の@tiptap/extension-linkパッケージには、リンクの設定または切り替え時に未検証のユーザー入力を許可するため、クロスサイトスクリプティング（XSS）の脆弱性があります。攻撃者はjavascript: URLのペイロードをこれらの属性に注入することで、アプリケーションのコンテキスト内で任意のJavaScriptコードを実行でき、これはユーザーの操作によって発動されます。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。