CVE-2026-86428
WysokieCVSS 7.5Streszczenie
Podatność na odmowę usługi w commonmark w wersjach od 1.5.0 do 2.10.0 w rozszerzeniu AttributesExtension podczas przetwarzania atrybutów o różnych nazwach. Atakujący mogą wysłać Markdown z wieloma różnymi nazwami atrybutów, co powoduje kwadratowe scalanie i filtrowanie atrybutów, zużywając nieproporcjonalne zasoby CPU i uniemożliwiając realizację prawidłowych żądań.
Ocena ryzyka
Atakujący może wyczerpać zasoby CPU serwera, powodując odmowę usługi.
Rekomendacja
Zaktualizuj commonmark do wersji 2.10.0 lub nowszej.
Inne podatności w commonmark
Zobacz wszystkie- CVE-2026-86435Wysokie
Podatność na odmowę usługi w rozszerzeniu Footnote biblioteki commonmark w wersjach od 1.5.0 do 2.8.4. Brak deduplikacji definicji przypisów pozwala atakującemu na stworzenie dokumentów z duplikatami, co prowadzi do kwadratowej ekspansji wyjścia i nadmiernego zużycia pamięci oraz CPU.
- CVE-2026-86433Wysokie
Podatność na odmowę usługi w rozszerzeniu Attributes biblioteki commonmark w wersjach od 1.5.0 do 2.8.4. Funkcja AttributesListener::findTargetAndDirection() wykonuje kwadratowe skanowanie listy rodzeństwa. Nieuwierzytelnieni atakujący mogą przesłać około 32 KB powtarzających się bloków atrybutów, co powoduje, że parsowanie trwa ponad 5 sekund i wyczerpuje zasoby serwera.
- CVE-2026-86432Średnie
Biblioteka commonmark w wersjach od 2.0.0 przed 2.8.4 zawiera podatność na atak DoS w XmlRenderer, który generuje wcięcia proporcjonalne do głębokości dla każdego tagu XML. Atakujący mogą dostarczyć głęboko zagnieżdżone struktury Markdown lub AST, powodując kwadratowe zużycie pamięci i amplifikację wyjścia, wyczerpując zasoby serwera.
Oryginalny opis (angielski, źródło NVD)
commonmark versions from 1.5.0 before 2.10.0 contain a denial of service vulnerability in the AttributesExtension when processing distinctly-named attributes. Attackers can submit Markdown with numerous distinct attribute names to cause quadratic-time attribute merging and filtering, consuming disproportionate CPU resources and preventing legitimate requests from completing.