CVE-2026-111759
WysokieCVSS 7.5Streszczenie
markdown-it to parser Markdown. Przed wersjami 14.3.2 i 15.0.2, gdy włączono typographer: true, spreparowany Markdown może powodować kwadratowy czas przetwarzania w regule smartquotes, prowadząc do odmowy usługi. Problem występuje przy wielu otwierających cudzysłowach podwójnych i niedopasowanych zamykających pojedynczych.
Ocena ryzyka
Aplikacje przetwarzające niezaufane dane wejściowe mogą doświadczyć wyczerpania zasobów i odmowy usługi. Domyślna konfiguracja (typographer: false) nie jest dotknięta, ale opcja jest często włączana.
Rekomendacja
Zaktualizuj markdown-it do wersji 14.3.2 lub 15.0.2 (lub nowszej). Rozważ wyłączenie typographer dla niezaufanych danych wejściowych.
Inne podatności w markdown-it
Zobacz wszystkie- CVE-2026-111766Niskie
markdown-it to parser Markdown. W wersjach przed 14.3.3 i 15.0.3, gdy opcja html lub preset commonmark jest włączona, a konstrukcje występują wewnątrz akapitu, atakujący może dostarczyć Markdown z powtarzającymi się niezakończonymi komentarzami HTML, instrukcjami przetwarzania, deklaracjami lub sekcjami CDATA, co prowadzi do kwadratowego przetwarzania i odmowy usługi poprzez blokowanie pętli zdarzeń lub zawieszanie wątku głównego przeglądarki. Bloki HTML i domyślna konfiguracja z wyłączonym HTML nie są podatne. Problem naprawiono w wersjach 14.3.3 i 15.0.3.
- CVE-2026-48988Średnie
markdown-it to parser Markdown, który w wersjach 14.1.1 i poniżej zawiera podatność na odmowę usługi, gdy opcja typographer: true jest włączona. Problem wynika z kwadratowego przetwarzania w regule smartquotes, co prowadzi do nadmiernego zużycia CPU przy przetwarzaniu markdown z dużą ilością cytatów.
Oryginalny opis (angielski, źródło NVD)
markdown-it is a Markdown parser. Prior to 14.3.2 and 15.0.2, when typographer: true is enabled, specially crafted Markdown can cause quadratic processing time in the smartquotes rule, potentially leading to denial of service in applications processing untrusted input. Many opening double quotes followed by unmatched closing single quotes cause repeated scans of the entire opener stack. The same issue occurs with the quote types reversed. The default configuration (typographer: false) is not affected, but this option is enabled with high probability. This issue is fixed in versions 14.3.2 and 15.0.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS