PT-2026-49555
CVE-2026-48988
·
تاريخ النشر
2026-06-15
·
تاريخ التحديث
2026-10-30
الوصف من
CVSS 3.1
5.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
markdown-it (لم يتم تحديد الإصدارات المتأثرة)
الوصف
توجد مشكلة في التعقيد الزمني التربيعي في قاعدة smartquotes عند تمكين الخيار
typographer: true. يمكن للمهاجم تقديم مدخلات ماركداون تحتوي على عدد كبير من علامات الاقتباس المتتالية، مما يتسبب في استهلاك المحلل لموارد وحدة المعالجة المركزية (CPU) بشكل مفرط ويؤدي إلى رفض الخدمة. يحدث هذا لأن الدالة replaceAt() الموجودة في lib/rules core/smartquotes.mjs تقوم بتعديل token.content باستخدام تقطيع السلسلة وتجميعها لكل حرف اقتباس يتم العثور عليه. ونظرًا لأن كل عملية تقطيع هي O(n) ويتم تنفيذها لكل حرف من حروف الاقتباس n، فإن التعقيد الإجمالي يصبح O(n^2).التوصيات
كحل مؤقت، يُنصح بتعطيل الخيار
typographer عن طريق تعيين قيمته إلى false لتقليل مخاطر الاستغلال.في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
قابلية الاستغلال
استغلال
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾