CVE-2026-67422 in pymdown-extensions
Zusammenfassung
von VulDB • 07.08.2026
pymdown-extensions ist eine Sammlung von Erweiterungen für die Python-Markdown-Bibliothek. In Versionen bis einschließlich 11.0 verwenden vier Inline-Prozessoren (caret, tilde, betterem und magiclink) reguläre Ausdrücke, deren Inhaltsguppen eine Folge von Begrenzerzeichen auf exponentiell viele Arten partitionieren können, was zu katastrophalem Backtracking führt. Infolgedessen treibt eine einzelne nicht vertrauenswürdige Markdown-Zeile mit weniger als 50 Bytes, die in der Standardkonfiguration jeder Erweiterung mit markdown.markdown() gerendert wird, den Rendering-Thread in einen unbegrenzten CPU-Verbrauch, der exponentiell mit der Eingabelänge wächst. Dies ermöglicht es einem nicht authentifizierten Remote-Angriff, der Markdown einreichen kann, eine Denial-of-Service-Bedrohung zu verursachen. Die Exposition ist konkret für Webanwendungen, die vom Benutzer bereitgestellten Markdown (Kommentare, Wikis, Issue-Inhalte, Live-Vorschau) rendern, einschließlich jeder Anwendung, die pymdownx.extra verwendet, das den anfälligen Standardwert betterem bündelt, sowie gehostete Docs/CI-Systeme, die nicht vertrauenswürdigen Markdown erstellen. Das Problem wurde in Version 11.0.1 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.