Podatności markdown-it

markdown-it to parser Markdown. W wersjach przed 14.3.3 i 15.0.3, gdy opcja html lub preset commonmark jest włączona, a konstrukcje występują wewnątrz akapitu, atakujący może dostarczyć Markdown z powtarzającymi się niezakończonymi komentarzami HTML, instrukcjami przetwarzania, deklaracjami lub sekcjami CDATA, co prowadzi do kwadratowego przetwarzania i odmowy usługi poprzez blokowanie pętli zdarzeń lub zawieszanie wątku głównego przeglądarki. Bloki HTML i domyślna konfiguracja z wyłączonym HTML nie są podatne. Problem naprawiono w wersjach 14.3.3 i 15.0.3.

markdown-it to parser Markdown. Przed wersjami 14.3.2 i 15.0.2, gdy włączono typographer: true, spreparowany Markdown może powodować kwadratowy czas przetwarzania w regule smartquotes, prowadząc do odmowy usługi. Problem występuje przy wielu otwierających cudzysłowach podwójnych i niedopasowanych zamykających pojedynczych.

markdown-it to parser Markdown, który w wersjach 14.1.1 i poniżej zawiera podatność na odmowę usługi, gdy opcja typographer: true jest włączona. Problem wynika z kwadratowego przetwarzania w regule smartquotes, co prowadzi do nadmiernego zużycia CPU przy przetwarzaniu markdown z dużą ilością cytatów.