CVE-2026-48801

WysokieCVSS 7.5

Opublikowano: 14/07/2026(UTC)Zaktualizowano: 06/08/2026(UTC)Przetłumaczono: 16/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.35%

Percentyl 28 - wyżej niż 28% wszystkich znanych CVE

Streszczenie

Biblioteka linkify-it przed wersją 5.0.1 zawiera podatność na atak typu Denial of Service (DoS) spowodowaną kwadratową złożonością obliczeniową funkcji LinkifyIt.prototype.match. Dla danych wejściowych zawierających wiele niejednoznacznych linków lub adresów email, pętla skanowania wielokrotnie przetwarza skracające się fragmenty tekstu, co prowadzi do nadmiernego zużycia CPU.

Ocena ryzyka

Usługi renderujące niezaufany Markdown z włączoną opcją linkify:true na ścieżce krytycznej żądania mogą zostać łatwo przeciążone przez wysłanie żądania o rozmiarze kilkudziesięciu kilobajtów, powodując zatrzymanie procesu roboczego i przerwę w działaniu usługi.

Rekomendacja

Należy natychmiast zaktualizować bibliotekę linkify-it do wersji 5.0.1 lub nowszej. Jeśli aktualizacja nie jest możliwa, tymczasowo wyłącz opcję linkify:true w parserze Markdown lub ogranicz rozmiar przetwarzanych danych wejściowych.

Inne podatności w linkify-it

CVE-2026-59887Wysokie
Biblioteka linkify-it przed wersją 5.0.2 zawiera podatność na atak typu ReDoS (Regular Expression Denial of Service). Walidator schematu mailto: wywoływany przez metody .test() i .match() może być aktywowany przy każdym wystąpieniu mailto: i skanować pozostałe dane wejściowe przez src_email_name w lib/re.mjs, powodując kwadratową złożoność obliczeniową O(n^2) na spreparowanym tekście użytkownika.

Oryginalny opis (angielski, źródło NVD)

linkify-it is a links recognition library with full Unicode support. Prior to 5.0.1, LinkifyIt.prototype.match, the package's primary public API, has O(N²) algorithmic complexity for inputs containing many fuzzy links or emails because the JavaScript-level scan loop re-slices input and re-runs unanchored regex searches on progressively shorter tails. Any service that synchronously renders untrusted Markdown with linkify:true on a request hot path can inherit a worker-process denial of service triggerable by a tens-of-KB request body. This issue is fixed in version 5.0.1.