CVE-2026-111766
NiskieCVSS 3.7Streszczenie
markdown-it to parser Markdown. W wersjach przed 14.3.3 i 15.0.3, gdy opcja html lub preset commonmark jest włączona, a konstrukcje występują wewnątrz akapitu, atakujący może dostarczyć Markdown z powtarzającymi się niezakończonymi komentarzami HTML, instrukcjami przetwarzania, deklaracjami lub sekcjami CDATA, co prowadzi do kwadratowego przetwarzania i odmowy usługi poprzez blokowanie pętli zdarzeń lub zawieszanie wątku głównego przeglądarki. Bloki HTML i domyślna konfiguracja z wyłączonym HTML nie są podatne. Problem naprawiono w wersjach 14.3.3 i 15.0.3.
Ocena ryzyka
Odmowa usługi może prowadzić do niedostępności aplikacji lub przeglądarki, co może zakłócić działalność organizacji. Wymaga jednak włączenia określonych opcji i dostarczenia złośliwego Markdown.
Rekomendacja
Zaktualizuj markdown-it do wersji 14.3.3 lub 15.0.3 (lub nowszej). Jeśli to możliwe, wyłącz opcję html lub preset commonmark, jeśli nie są potrzebne.
Inne podatności w markdown-it
Zobacz wszystkie- CVE-2026-111759Wysokie
markdown-it to parser Markdown. Przed wersjami 14.3.2 i 15.0.2, gdy włączono typographer: true, spreparowany Markdown może powodować kwadratowy czas przetwarzania w regule smartquotes, prowadząc do odmowy usługi. Problem występuje przy wielu otwierających cudzysłowach podwójnych i niedopasowanych zamykających pojedynczych.
- CVE-2026-48988Średnie
markdown-it to parser Markdown, który w wersjach 14.1.1 i poniżej zawiera podatność na odmowę usługi, gdy opcja typographer: true jest włączona. Problem wynika z kwadratowego przetwarzania w regule smartquotes, co prowadzi do nadmiernego zużycia CPU przy przetwarzaniu markdown z dużą ilością cytatów.
Oryginalny opis (angielski, źródło NVD)
markdown-it is a Markdown parser. Prior to 14.3.3 and 15.0.3, when the html option or commonmark preset is enabled and the constructs occur inside a paragraph, attacker-controlled Markdown containing repeated unterminated inline HTML comments, processing instructions, declarations, or CDATA sections reaches src/rules_inline/html_inline.ts. Its HTML_TAG_RE match searches the remaining suffix for the appropriate terminator; when no terminator is present, parsing advances to the next opener and repeats the match over overlapping input, causing quadratic processing and denial of service through event-loop blocking or an unresponsive browser main thread. HTML blocks and the default HTML-disabled configuration are not affected by these payloads. This issue is fixed in versions 14.3.3 and 15.0.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS