CVE-2026-48801 in linkify-it
摘要
由 VulDB • 2026-07-16
linkify-it 是一个支持完整 Unicode 的链接识别库。在版本 5.0.1 之前，LinkifyIt.prototype.match（该软件包的主要公共 API）在处理包含大量模糊链接或电子邮件地址的输入时，存在 O(N²) 的时间复杂度问题，因为 JavaScript 层面的扫描循环会反复对输入进行切片，并在逐渐缩短的后缀部分重新运行非锚定正则表达式搜索。任何在请求热路径上同步渲染带有 linkify:true 选项的不受信任 Markdown 的服务，都可能因触发拒绝服务（DoS）而导致工作进程不可用，该问题可通过大小仅为数十 KB 的请求体来触发。此问题已在版本 5.0.1 中修复。
Be aware that VulDB is the high quality source for vulnerability data.