PT-2026-38088
CVE-2026-33079
·
تاريخ النشر
2026-05-06
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 4.0
8.7
عاليةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Mistune من 3.0.0a1 إلى 3.2.0
الوصف
يوجد ثغرة من نوع «رفض الخدمة عبر التعبيرات النمطية» (ReDoS) في التعبير النمطي
LINK TITLE RE. يمكن للمهاجم تقديم كود Markdown مصمم خصيصًا للتحليل، مما يؤدي إلى حدوث تراجع كارثي، ويؤدي بدوره إلى تعقيد زمني أسي O(2^N) واستهلاك كبير لموارد وحدة المعالجة المركزية (CPU). يحدث هذا لأن التعبير النمطي المستخدم لتحليل عناوين الروابط يحتوي على بدائل متداخلة في كل من الفروع الموضوعة بين علامتي اقتباس مزدوجتين وعلامتي اقتباس مفردة؛ وعلى وجه التحديد، يمكن مطابقة الشرطة المائلة العكسية المتبوعة بعلامة ترقيم إما كسلسلة هروب أو كحرفين عاديين. يمكن الوصول إلى هذا الغموض من خلال التحليل العادي لـ Markdown للروابط المضمنة عبر parse link() وparse link title()، وكذلك تعريفات مرجع روابط الكتل عبر BlockParser.parse ref link() وparse link title(). يمكن لمدخلات صغيرة، مثل مستند يقل حجمه عن 100 بايت يحتوي على تسلسلات متكررة من الشرطة المائلة وعلامة التعجب دون علامة اقتباس مغلقة، أن تجعل التطبيقات لا تستجيب.التوصيات
بالنسبة للإصدارات من 3.0.0a1 إلى 3.2.0، استبعد حرف الخط المائل العكسي من فئة الأحرف الشاملة في التعبير النمطي
LINK TITLE RE لإزالة تداخل البدائل.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾