- Yama var
- Son 7 gün
- CWE-400
CVE-2026-115348
Mistune'da ayrıştırıcı kaynaklı karmaşıklık hatası: parse_link_text ile hizmet dışı bırakma
- Yayımlandı
- Güncellendi
- 24 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Mistune 3.0.0 ile 3.3.0 öncesi sürümlerde, satır içi bağlantı ayrıştırıcısındaki parse_link_text fonksiyonu algoritmik karmaşıklık güvenlik açığı içermektedir. Bu açık, kimlik doğrulaması yapılmamış saldırganların dengesiz köşeli parantezlerle CPU kaynaklarını tüketmesine olanak tanır. Saldırganlar, çok sayıda dengesiz '[' veya '![' karakteri içeren Markdown gönderebilir; bu da sınırsız ileri yönlü taramaların tekrar tekrar yapılmasına neden olarak çalışan süreçlerin dakikalarca meşgul kalmasına yol açar. Etkilenen ürün: lepture mistune, >= 3.0.0 ve < 3.3.0 sürümleri. Düzeltme sürümü: 3.3.0. CVSS 3.1 skoru: 7.5 (YÜKSEK), vektör: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H. CWE-400.
Kaynaktaki açıklama (İngilizce)
Mistune from 3.0.0 before 3.3.0 contains an algorithmic complexity vulnerability in the inline link parser's parse_link_text function that allows unauthenticated attackers to exhaust CPU with unbalanced brackets. Attackers can submit Markdown containing many unbalanced '[' or '![' characters, forcing repeated unbounded forward scans and tying up worker processes for minutes.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| lepture mistune | ≥ 3.0.0, < 3.3.0 | 3.3.0 |
| 3.3.0 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.