Podatności commonmark

Podatność na odmowę usługi w rozszerzeniu Footnote biblioteki commonmark w wersjach od 1.5.0 do 2.8.4. Brak deduplikacji definicji przypisów pozwala atakującemu na stworzenie dokumentów z duplikatami, co prowadzi do kwadratowej ekspansji wyjścia i nadmiernego zużycia pamięci oraz CPU.

Podatność na odmowę usługi w rozszerzeniu Attributes biblioteki commonmark w wersjach od 1.5.0 do 2.8.4. Funkcja AttributesListener::findTargetAndDirection() wykonuje kwadratowe skanowanie listy rodzeństwa. Nieuwierzytelnieni atakujący mogą przesłać około 32 KB powtarzających się bloków atrybutów, co powoduje, że parsowanie trwa ponad 5 sekund i wyczerpuje zasoby serwera.

Biblioteka commonmark w wersjach od 2.0.0 przed 2.8.4 zawiera podatność na atak DoS w XmlRenderer, który generuje wcięcia proporcjonalne do głębokości dla każdego tagu XML. Atakujący mogą dostarczyć głęboko zagnieżdżone struktury Markdown lub AST, powodując kwadratowe zużycie pamięci i amplifikację wyjścia, wyczerpując zasoby serwera.

Podatność na odmowę usługi w commonmark w wersjach od 1.5.0 do 2.10.0 w rozszerzeniu AttributesExtension podczas przetwarzania atrybutów o różnych nazwach. Atakujący mogą wysłać Markdown z wieloma różnymi nazwami atrybutów, co powoduje kwadratowe scalanie i filtrowanie atrybutów, zużywając nieproporcjonalne zasoby CPU i uniemożliwiając realizację prawidłowych żądań.