CVE-2026-111758

Nome do Software Vulnerável e Versões Afetadas markdown-it versões 14.1.0 até 14.3.2 markdown-it versões 15.0.0 até 15.0.2

Description Existe uma negação de serviço por complexidade algorítmica ao processar uma definição de referência de link cujo rótulo ou título nunca é fechado. Usando as opções padrão, as linhas de continuação são extraídas de forma preguiçosa em src/rules block/reference.ts usando str += lineContent. Chamadas subsequentes a charCodeAt e slice achatam a cons-string do V8, fazendo com que o processo copie todos os dados coletados repetidamente. Isso resulta em uma complexidade de tempo O(n²), onde o tempo de processamento aumenta quadraticamente em relação ao tamanho da entrada. Por exemplo, uma requisição de 400 KB pode bloquear o loop de eventos do Node.js por aproximadamente 18 segundos, enquanto uma requisição de 800 KB pode bloqueá-lo por cerca de 74 segundos.

Recommendations Atualize o markdown-it para a versão 14.3.3. Atualize o markdown-it para a versão 15.0.3.