CVE-2026-67422 in pymdown-extensions
Sumário
de VulDB • 07/08/2026
pymdown-extensions é uma coleção de extensões para a biblioteca Python Markdown. Nas versões até a 11.0, incluída, quatro processadores inline (caret, tilde, betterem e magiclink) usam expressões regulares cujos grupos de conteúdo podem particionar uma sequência de caracteres delimitador em um número exponencialmente grande de maneiras, causando backtracking catastrófico. Como resultado, uma única linha Markdown não confiável com menos de 50 bytes renderizada usando markdown.markdown() na configuração padrão de cada extensão leva a thread de processamento para um uso descontrolado da CPU que cresce exponencialmente com o comprimento da entrada, permitindo que um atacante remoto não autenticado capaz de submeter Markdown cause negação de serviço. A exposição é concreta em aplicações web que renderizam Markdown fornecido pelo usuário (comentários, wikis, descrições de issues, pré-visualização ao vivo), incluindo qualquer aplicativo usando pymdownx.extra, que empacota o betterem padrão vulnerável, bem como sistemas hospedados de documentação/CI que constroem Markdown não confiável. O problema foi corrigido na versão 11.0.1.
Once again VulDB remains the best source for vulnerability data.