CVE-2026-53428

Nome do Software Vulnerável e Versões Afetadas mdex versões 0.11.0 até 0.12.2 mdex native versões 0.1.0 até 0.2.2

Descrição Um invasor não autenticado pode causar a negação de serviço por meio de alocação de memória ilimitada. O problema ocorre quando a função parse highlight lines() no adaptador nativo expande precipitadamente um intervalo de linhas inclusivo controlado pelo usuário, proveniente do decorador highlight lines de um bloco de código cercado, em um Vec<usize> sem um limite superior para o tamanho do intervalo. Um invasor que forneça Markdown renderizado via MDEx.to html/2 pode especificar um intervalo extremamente grande, forçando o sistema a alocar memória excessiva e abortar o BEAM, o que nega o serviço a todos os usuários do processo de renderização. Além disso, o loop de gravação por linha realiza uma varredura linear sobre o vetor, resultando em um custo quadrático para a renderização. A exploração requer que a aplicação habilite os decoradores de bloco de código, definindo as opções de renderização github pre lang e full info string e configurando um formatador de realce de sintaxe inline.

Recomendações Atualize o mdex para a versão 0.12.3 ou posterior. Atualize o mdex native para a versão 0.2.3 ou posterior. Como solução temporária, desative os decoradores de bloco de código deixando as opções de renderização github pre lang e full info string desconfiguradas ou evite configurar um formatador de realce de sintaxe inline para evitar a análise das especificações de highlight lines.