Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-400
  • CWE-407

CVE-2026-111758

markdown-it'te tek bir çok satırlı bağlantı referans tanımında karesel zamanlı işleme sorunu

markdown-it

Yüksek 7,5 CVSS 3.1
Yayımlandı
Güncellendi
28 Eki 2026
Açık yaşı
7 gün
Kaydı açan
GitHub_M

ÖzetTürkçe

markdown-it, bir Markdown ayrıştırıcısıdır. 14.1.0 sürümünden 14.3.3 öncesine ve 15.0.0 sürümünden 15.0.3 öncesine kadar olan sürümlerde, etiketi veya başlığı kapatılmayan bir bağlantı referans tanımı, varsayılan seçeneklerle O(n²) karmaşıklığında işlenmektedir. Devam satırları src/rules_block/reference.ts dosyasında tembel biçimde str += lineContent ile alınmakta; ardından çağrılan charCodeAt ve slice işlemleri V8 cons-string yapısını düzleştirerek o ana kadar biriken her şeyi kopyalamaktadır. Bu işlem, kuralın tanımın geçersiz olduğuna karar vermesinden önce gerçekleşmektedir. Tetiklemek için herhangi bir seçeneğe gerek yoktur. Sorun 14.3.3 ve 15.0.3 sürümlerinde giderilmiştir.

Kaynaktaki açıklama (İngilizce)

markdown-it is a Markdown parser. From versions 14.1.0 to before 14.3.3, and 15.0.0 to before 15.0.3, a link reference definition whose label or title is never closed is O(n²) with default options. Continuation lines are pulled lazily with str += lineContent in src/rules_block/reference.ts, and the subsequent charCodeAt and slice calls flatten the V8 cons-string, copying everything collected so far; this runs before the rule decides the definition is invalid. No options are required to trigger it. This issue has been patched in versions 14.3.3 and 15.0.3.

Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
markdown-it Sürüm belirtilmemiş –

Kaynaklar7 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.