CVE-2026-48988
Açıklama
markdown-it bir Markdown ayrıştırıcısıdır. Versiyon 14.1.1 ve altı, typographer: true etkinleştirildiğinde, smartquotes kuralındaki kuadratik (O(n^2)) işleme nedeniyle bir hizmet reddi (denial-of-service) zafiyeti içermektedir. Sorun, her tırnak karakteri için O(n) dilimleme ve birleştirme işlemi gerçekleştiren replaceAt() ile dizelerin tekrar tekrar değiştirilmesinden kaynaklanmaktadır. Bu durum, kullanıcı tarafından sağlanan ve yoğun tırnak içeren markdown içerikleri ayrıştırılırken aşırı CPU tüketimine neden olabilir ve saldırganların servis kullanılabilirliğini düşürmesine veya aksatmasına olanak tanıyabilir. Typographer varsayılan olarak devre dışı olsa da birçok üretim uygulaması akıllı tipografi için bunu etkinleştirdiğinden sorun önem arz etmektedir. Bu sorun versiyon 14.2.0'da düzeltilmiştir.
Nasıl düzeltilir
- markdown-it_project markdown-it14.2.0 ya da sonraki bir sürüm
- markdown-it14.2.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| markdown-it_project markdown-it | v < 14.2.0 | 14.2.0 |
| markdown-itnpm | v < 14.2.0 | 14.2.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.