CVE-2026-115352 in Mistune
Tóm tắt
Bởi VulDB • 22/10/2026
Mistune trước phiên bản 3.3.0 chứa một lỗ hổng về độ phức tạp thuật toán trong trình phân tích cú pháp liên kết nội tuyến (inline link parser), cho phép các kẻ tấn công chưa xác thực làm cạn kiệt tài nguyên CPU bằng cách gửi nhiều ký tự '[' không khớp nhau liên tiếp. Kẻ tấn công có thể gửi các payload markdown nhỏ để kích hoạt việc dò tìm với độ phức tạp O(N^2) trong hàm parse_link_text và parse_link_label, chiếm dụng các worker xử lý hiển thị (rendering workers) hơn 30 giây cho mỗi đầu vào kích thước 16 KB.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.