Mistuneで不正な角括弧による処理遅延のサービス妨害
Summary
Mistuneの3.3.0より前のバージョンには、parse_link_text処理で非効率なアルゴリズムが使われている脆弱性があります。遠隔の攻撃者が対閉じ括弧のない角括弧を大量に含むMarkdownを送ると、処理が数分間停止し、サービス妨害が起きるおそれがあります。修正版の3.3.0以降へ更新してください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
Mistuneの3.3.0より前のバージョンには、parse_link_text処理で非効率なアルゴリズムが使われている脆弱性があります。遠隔の攻撃者が対閉じ括弧のない角括弧を大量に含むMarkdownを送ると、処理が数分間停止し、サービス妨害が起きるおそれがあります。修正版の3.3.0以降へ更新してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| lepture | mistune |
< 3.3.0 |
3.3.0 |
Original description The description as published by the source.
Mistune before 3.3.0 contains an inefficient algorithmic complexity vulnerability in parse_link_text that allows remote attackers to cause denial of service through unbalanced square brackets. Attackers can submit markdown containing long runs of unmatched brackets to mistune.html(), triggering repeated forward scans that stall worker processes for minutes.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web github.com
- web vulncheck.com
- web nvd.nist.gov
- web github.com