CVE-2026-48801
Açıklama
linkify-it, tam Unicode desteğine sahip bir bağlantı tanıma kütüphanesidir. 5.0.1 sürümünden önce, paketin temel genel API'si olan LinkifyIt.prototype.match, çok sayıda belirsiz bağlantı veya e-posta içeren girdiler için O(N²) algoritmik karmaşıklığa sahiptir; çünkü JavaScript düzeyindeki tarama döngüsü, girdiyi yeniden dilimler ve giderek kısalan kuyruklar üzerinde sabitlenmemiş regex aramalarını tekrar çalıştırır. Bir istek kritik yolunda güvenilmeyen Markdown içeriğini linkify:true ile senkron olarak işleyen herhangi bir servis, onca KB boyutundaki bir istek gövdesiyle tetiklenebilen bir worker-process hizmet reddi durumuna maruz kalabilir. Bu sorun 5.0.1 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- markdown-it linkify-it5.0.1 ya da sonraki bir sürüm
- linkify-it5.0.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| markdown-it linkify-it | v < 5.0.1 | 5.0.1 |
| linkify-itnpm | v < 5.0.1 | 5.0.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.