Библиотека League/commonmark (thephpleague/commonmark) в версиях >= 1.5.0 и < 2.9.1 содержит квадратичную сложность синтаксического анализа в своих SmartPunctExtension и AttributesExtension. Когда какое-либо расширение явно зарегистрировано в среде (они не включены по умолчанию и исключены из стандартных преобразователей Markdown в CommonMark и GitHub), неаутентифицированный злоумышленник может отправить небольшие, специально созданные документы Markdown — такие как текст, чередующийся с непарными кавычками, последовательные запуски блоков атрибутов на уровне блока или повторяющиеся атрибуты класса — чтобы вызвать непропорциональное потребление ЦП и отказ в обслуживании. Исправлено в 2.9.1.
Показать оригинальное описание (EN)
The league/commonmark (thephpleague/commonmark) library in versions >= 1.5.0 and < 2.9.1 contains quadratic parsing complexity in its SmartPunctExtension and AttributesExtension. When either extension is explicitly registered on the Environment (they are not enabled by default and are excluded from the standard CommonMark and GitHub-Flavored Markdown converters), an unauthenticated attacker can submit small, specially crafted Markdown documents — such as text alternating with unpaired quotes, contiguous runs of block-level attribute blocks, or repeated class attributes — to trigger disproportionate CPU consumption and cause a denial of service. Fixed in 2.9.1.
Характеристики атаки
Последствия
Строка CVSS v4.0