Mistune 3.0.0以降の一部版で入れ子の角かっこ処理により サービス拒否の脆弱性
Summary
細工された Markdown を送られると、入れ子の角かっこの解析に時間がかかり、少量のリクエストでサーバーの CPU を使い切られるおそれがあります。影響を受けるのは Mistune 3.0.0 以上 3.3.0 未満です。3.3.0 以降へ更新してください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
細工された Markdown を送られると、入れ子の角かっこの解析に時間がかかり、少量のリクエストでサーバーの CPU を使い切られるおそれがあります。影響を受けるのは Mistune 3.0.0 以上 3.3.0 未満です。3.3.0 以降へ更新してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| lepture | mistune |
≥ 3.0.0, < 3.3.0 |
3.3.0 |
Original description The description as published by the source.
Mistune from 3.0.0 before 3.3.0 contains an algorithmic complexity denial of service vulnerability in the parse_link_text function in src/mistune/helpers.py. Attackers can submit markdown with deeply nested square brackets triggering quadratic parsing time, exhausting server CPU with small crafted requests.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web github.com
- web vulncheck.com
- web nvd.nist.gov
- web github.com