CVE-2026-54888

Nome do Software Vulnerável e Versões Afetadas mdex versões 0.3.0 até 0.12.2 mdex native versões 0.1.0 até 0.2.2

Descrição Um problema de recursão descontrolada ocorre durante a conversão entre uma estrutura %MDEx.Document{} do Elixir e a AST interna do Comrak. O processo utiliza duas funções Rust mutuamente recursivas, ex document to comrak ast() e comrak ast to ex document(), que não impõem uma profundidade máxima de aninhamento. Um invasor pode fornecer um documento Markdown com milhares de citações aninhadas para serem renderizadas via MDEx.parse document!/1 ou MDEx.to html/1, causando recursão ilimitada através da fronteira NIF (Native Implemented Function) e esgotando a pilha C nativa. Isso resulta em um SIGSEGV (falha de segmentação) impossível de capturar que encerra todo o processo do sistema operacional que executa o BEAM, derrubando todos os processos Elixir e Erlang no nó. Não são necessárias autenticação ou privilégios especiais.

Recomendações Atualize o mdex para a versão 0.12.3 ou posterior. Atualize o mdex native para a versão 0.2.3 ou posterior.