CVE-2026-58486

Nome do Software Vulnerável e Versões Afetadas HedgeDoc versões anteriores a 1.11.0

Description O processamento inseguro do frontmatter de notas permite uma bomba de alias YAML, onde um payload malicioso compacto se expande em uma estrutura de objeto massiva. Isso ocorre porque a aplicação utiliza js-yaml.load (js-yaml v3) via @hedgedoc/meta-marked para resolver aliases de âncoras YAML, resultando em consumo excessivo de CPU. O problema é acionado durante requisições ao endpoint de visualização de publicação '/s/' e ao endpoint de visualização do editor '/' quando o payload é colocado sob a chave opengraph. Uma bomba de alias de dez níveis pode bloquear o event loop do Node.js por aproximadamente 235 segundos por requisição, causando uma Negação de Serviço (DoS) que persiste após reinicializações do processo, pois a nota é armazenada no banco de dados.

Recommendations Atualizar para a versão 1.11.0.