CVE-2019-25781

WysokieCVSS 7.5

Opublikowano: 29/10/2026(UTC)Zaktualizowano: 29/10/2026(UTC)Przetłumaczono: 29/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.42%

Percentyl 37 - wyżej niż 37% wszystkich znanych CVE

Streszczenie

Python-Markdown w wersjach od 3.0 do 3.11.2 zawiera podatność złożoności algorytmicznej w parsowaniu linków inline, umożliwiającą zdalne wyczerpanie CPU przez niedopasowane nawiasy. Krótki Markdown z powtarzającymi się znakami [ lub ![ wymusza kwadratowe skanowanie w LinkInlineProcessor.getText() i getLink(), zajmując procesy na wiele minut.

Ocena ryzyka

Atakujący może wysłać niewielki ładunek, który wyczerpie zasoby CPU i zablokuje przetwarzanie Markdown. Prowadzi to do odmowy usługi w aplikacjach renderujących niezaufane treści.

Rekomendacja

Zaktualizuj Python-Markdown do wersji nowszej niż 3.11.2. Do czasu aktualizacji ogranicz rozmiar i złożoność przetwarzanego Markdown oraz stosuj limity czasu przetwarzania.

Inne podatności w Python-Markdown

CVE-2025-69534Wysokie
Python-Markdown w wersji 3.8 zawiera podatność, w której nieprawidłowo sformatowane sekwencje przypominające HTML powodują nieobsłużony błąd AssertionError w html.parser.HTMLParser podczas parsowania Markdown. Ponieważ Python-Markdown nie przechwytuje tego wyjątku, każda aplikacja przetwarzająca Markdown kontrolowany przez atakującego może ulec awarii.

Oryginalny opis (angielski, źródło NVD)

Python-Markdown 3.0 through 3.11.2 contains an algorithmic complexity vulnerability in inline link parsing that allows remote attackers to exhaust CPU through unmatched brackets. Attackers can submit short Markdown containing repeated [ or ![ characters, forcing LinkInlineProcessor.getText() and getLink() into quadratic scans that keep workers busy for minutes.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS