CVE-2026-86434

Nome do Software Vulnerável e Versões Afetadas league/commonmark versões 2.0.0 até 2.8.3

Descrição Um problema de negação de serviço existe na função UniqueSlugNormalizer::normalize(). O problema ocorre quando a função reinicia sua busca de sufixo numérico a partir de 1 a cada colisão de slug, resultando em uma complexidade de tempo O(K^2) para K cabeçalhos que colapsam para o mesmo slug base. Este caminho é acionado quando as extensões HeadingPermalinkExtension, FootnoteExtension ou TableOfContentsExtension estão registradas. Um invasor não autenticado pode fornecer um pequeno documento Markdown contendo muitos cabeçalhos que resolvem para um único slug base, como textos de cabeçalho idênticos, cabeçalhos compostos apenas por pontuação ou cabeçalhos ATX vazios, resultando em consumo excessivo de CPU.

Recomendações Atualize para a versão 2.9.0. Como mitigação temporária, evite registrar os módulos HeadingPermalinkExtension, FootnoteExtension ou TableOfContentsExtension.