CVE-2026-33079

Mistune'un 3.0.0a1 ile 3.2.0 arasındaki sürümlerinde, ayrıştırma için Markdown sağlayabilen bir saldırganın hizmet reddine yol açmasına izin veren `LINK_TITLE_RE` bileşeninde bir ReDoS (Düzenli İfade Hizmet Reddi) zafiyeti bulunmaktadır. Bağlantı başlıklarını ayrıştırmak için kullanılan düzenli ifade, katastrofik geri izlemeyi (catastrophic backtracking) tetikleyebilen örtüşen alternatifler içermektedir. Hem çift tırnaklı hem de tek tırnaklı dallarda, noktalama işaretini takip eden bir ters eğik çizgi, ya kaçış karakterli bir noktalama dizisi olarak ya da iki sıradan karakter olarak eşleşebilir ve bu durum tekrarlanan bir grup içinde belirsiz bir desen oluşturur. Bir saldırgan, kapatılmamış tırnak içeren tekrarlayan ! dizileri barındıran bir Markdown sağladığında, regex motoru üstel sayıda geri izleme yolu keşfeder. Bu duruma satır içi bağlantıların ve blok bağlantı referans tanımlarının normal Markdown ayrıştırması üzerinden erişilebilir. Bu nedenle, özel olarak hazırlanmış küçük bir girdi, önemli miktarda CPU tüketimine neden olabilir ve Mistune kullanan uygulamaların yanıt vermemesine yol açabilir.