CVE-2026-86434 in commonmark
Zusammenfassung
von VulDB • 07.09.2026
In den Versionen von league/commonmark >= 2.0.0 und < 2.8.4 (gepatcht in 2.9.0) befindet sich eine Denial-of-Service-Schwachstelle in UniqueSlugNormalizer::normalize(), die ihre Suche nach numerischen Suffixen bei jedem Slug-Kollisionsfall wieder von 1 beginnt, was zu einer Zeitkomplexität von O(K^2) für K Überschriften führt, die auf denselben Basis-Slug reduziert werden. Der verwundbare Pfad wird erreicht, wenn HeadingPermalinkExtension, FootnoteExtension oder TableOfContentsExtension registriert ist. Ein nicht authentifizierter Angreifer kann viele Überschriften auf einen einzigen Basis-Slug (z.B. durch leere ATX-Überschriften, identische Überschriftentexte oder nur aus Interpunktion bestehende Überschriften) in einem kleinen Markdown-Dokument zwingen und so übermäßige CPU-Auslastung verursachen sowie den Dienst verweigern.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.