CVE-2025-69534
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 45 - wyżej niż 45% wszystkich znanych CVE
Streszczenie
Python-Markdown w wersji 3.8 zawiera podatność, w której nieprawidłowo sformatowane sekwencje przypominające HTML powodują nieobsłużony błąd AssertionError w html.parser.HTMLParser podczas parsowania Markdown. Ponieważ Python-Markdown nie przechwytuje tego wyjątku, każda aplikacja przetwarzająca Markdown kontrolowany przez atakującego może ulec awarii.
Ocena ryzyka
Ryzyko polega na zdalnej, nieuwierzytelnionej odmowie usługi (DoS) w aplikacjach webowych, systemach dokumentacji, pipeline'ach CI/CD oraz wszelkich usługach renderujących niezaufany Markdown. Nieobsłużone wyjątki mogą również prowadzić do ujawnienia informacji.
Rekomendacja
Należy natychmiast zaktualizować bibliotekę Python-Markdown do wersji 3.8.1 lub nowszej, która zawiera poprawkę usuwającą tę podatność.
Inne podatności w Python-Markdown
Oryginalny opis (angielski, źródło NVD)
Python-Markdown version 3.8 contain a vulnerability where malformed HTML-like sequences can cause html.parser.HTMLParser to raise an unhandled AssertionError during Markdown parsing. Because Python-Markdown does not catch this exception, any application that processes attacker-controlled Markdown may crash. This enables remote, unauthenticated Denial of Service in web applications, documentation systems, CI/CD pipelines, and any service that renders untrusted Markdown. The issue was acknowledged by the vendor and fixed in version 3.8.1. This issue causes a remote Denial of Service in any application parsing untrusted Markdown, and can lead to Information Disclosure through uncaught exceptions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS