CVE-2026-86432
ŚrednieCVSS 5.3Streszczenie
Biblioteka commonmark w wersjach od 2.0.0 przed 2.8.4 zawiera podatność na atak DoS w XmlRenderer, który generuje wcięcia proporcjonalne do głębokości dla każdego tagu XML. Atakujący mogą dostarczyć głęboko zagnieżdżone struktury Markdown lub AST, powodując kwadratowe zużycie pamięci i amplifikację wyjścia, wyczerpując zasoby serwera.
Ocena ryzyka
Ryzyko przeciążenia serwera i niedostępności usługi, co może zakłócić działanie aplikacji korzystających z biblioteki.
Rekomendacja
Zaleca się aktualizację biblioteki commonmark do wersji 2.8.4 lub nowszej.
Inne podatności w commonmark
Zobacz wszystkie- CVE-2026-86435Wysokie
Podatność na odmowę usługi w rozszerzeniu Footnote biblioteki commonmark w wersjach od 1.5.0 do 2.8.4. Brak deduplikacji definicji przypisów pozwala atakującemu na stworzenie dokumentów z duplikatami, co prowadzi do kwadratowej ekspansji wyjścia i nadmiernego zużycia pamięci oraz CPU.
- CVE-2026-86433Wysokie
Podatność na odmowę usługi w rozszerzeniu Attributes biblioteki commonmark w wersjach od 1.5.0 do 2.8.4. Funkcja AttributesListener::findTargetAndDirection() wykonuje kwadratowe skanowanie listy rodzeństwa. Nieuwierzytelnieni atakujący mogą przesłać około 32 KB powtarzających się bloków atrybutów, co powoduje, że parsowanie trwa ponad 5 sekund i wyczerpuje zasoby serwera.
- CVE-2026-86428Wysokie
Podatność na odmowę usługi w commonmark w wersjach od 1.5.0 do 2.10.0 w rozszerzeniu AttributesExtension podczas przetwarzania atrybutów o różnych nazwach. Atakujący mogą wysłać Markdown z wieloma różnymi nazwami atrybutów, co powoduje kwadratowe scalanie i filtrowanie atrybutów, zużywając nieproporcjonalne zasoby CPU i uniemożliwiając realizację prawidłowych żądań.
Oryginalny opis (angielski, źródło NVD)
commonmark versions from 2.0.0 before 2.8.4 contain a denial of service vulnerability in XmlRenderer that emits depth-proportional indentation for every XML tag. Attackers can provide deeply nested Markdown or AST structures to cause quadratic memory consumption and output amplification, exhausting server resources.