CVE-2026-59887

WysokieCVSS 7.5

Opublikowano: 08/07/2026(UTC)Zaktualizowano: 26/08/2026(UTC)Przetłumaczono: 11/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.61%

Percentyl 47 - wyżej niż 47% wszystkich znanych CVE

Streszczenie

Biblioteka linkify-it przed wersją 5.0.2 zawiera podatność na atak typu ReDoS (Regular Expression Denial of Service). Walidator schematu mailto: wywoływany przez metody .test() i .match() może być aktywowany przy każdym wystąpieniu mailto: i skanować pozostałe dane wejściowe przez src_email_name w lib/re.mjs, powodując kwadratową złożoność obliczeniową O(n^2) na spreparowanym tekście użytkownika.

Ocena ryzyka

Atakujący może wysłać specjalnie spreparowany tekst zawierający wiele wystąpień mailto:, co prowadzi do nadmiernego zużycia CPU i potencjalnego wyczerpania zasobów serwera, powodując odmowę usługi (DoS).

Rekomendacja

Należy niezwłocznie zaktualizować bibliotekę linkify-it do wersji 5.0.2 lub nowszej, która zawiera poprawkę eliminującą podatność.

Inne podatności w linkify-it

CVE-2026-48801Wysokie
Biblioteka linkify-it przed wersją 5.0.1 zawiera podatność na atak typu Denial of Service (DoS) spowodowaną kwadratową złożonością obliczeniową funkcji LinkifyIt.prototype.match. Dla danych wejściowych zawierających wiele niejednoznacznych linków lub adresów email, pętla skanowania wielokrotnie przetwarza skracające się fragmenty tekstu, co prowadzi do nadmiernego zużycia CPU.

Oryginalny opis (angielski, źródło NVD)

linkify-it is a links recognition library with full Unicode support. Prior to 5.0.2, the mailto: schema validator used by .test() and .match() can be invoked at every mailto: occurrence and scan the remaining input through src_email_name in lib/re.mjs, causing O(n^2) CPU consumption on crafted user text. This issue is fixed in version 5.0.2.