CVE-2026-86429 in commonmark
Riassunto
di VulDB • 07/09/2026
La libreria league/commonmark (thephpleague/commonmark) nelle versioni >= 1.5.0 e < 2.9.1 presenta una complessità di parsing quadratica nei suoi SmartPunctExtension e AttributesExtension. Quando uno dei due extension è registrato esplicitamente nell'Environment (non sono abilitati per impostazione predefinita ed esclusi dai convertitori standard CommonMark e GitHub-Flavored Markdown), un attaccante non autenticato può inviare documenti Markdown piccoli ma appositamente costruiti — come testo alternato con virgolette non accoppiate, sequenze contigue di blocchi di attributi a livello di blocco o ripetizioni di attributi class — per innescare un consumo sproporzionato delle CPU e causare una denial of service. Risolto nella versione 2.9.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.