CVE-2022-24724 in cmark-gfm
Résumé
par VulDB • 02/08/2026
cmark-gfm est la version étendue de l'implémentation de référence en C de CommonMark développée par GitHub. Avant les versions 0.29.0.gfm.3 et 0.28.3.gfm.21, un dépassement d'entier (integer overflow) dans le parsing des lignes de tableau `table.c:row_from_string` de cmark-gfm peut entraîner une corruption de la mémoire heap lors du traitement de tableaux dont les lignes marqueurs contiennent plus de UINT16_MAX colonnes. L'impact de cette corruption de la mémoire heap varie d'une fuite d'informations (Information Leak) à l'exécution arbitraire de code, selon la manière et le contexte d'utilisation de `cmark-gfm`. Si `cmark-gfm` est utilisé pour rendre du markdown contrôlé par un utilisateur distant, cette vulnérabilité peut entraîner une exécution de code à distance (RCE) dans les applications utilisant des versions affectées de la bibliothèque `cmark-gfm`. Cette vulnérabilité a été corrigée dans les versions suivantes de cmark-gfm : 0.29.0.gfm.3 et 0.28.3.gfm.21. Une solution de contournement est disponible. La vulnérabilité existe au niveau des extensions markdown pour les tableaux de cmark-gfm. La désactivation de l'extension de tableau empêchera le déclenchement de cette vulnérabilité.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.