p PatchFirst

CVE-2026-71488

CVE-2026-71488 · league/commonmark: Quadratic-time denial of service when parsing crafted Markdown

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

league/commonmark is a PHP library for parsing and rendering CommonMark Markdown. From 0.6.0 until 2.9.0, specially crafted Markdown lines can cause the parser to have quadratic time complexity when converting, because several parsing paths repeatedly rescan growing portions of a line to translate between character positions and byte positions, and the Autolink extension can also copy and validate the remaining line at every URL-like prefix, allowing an attacker who can submit Markdown for conversion to consume disproportionate CPU time with a comparatively small request. This issue is fixed in 2.9.0.

CVSS 7.5 · Hoch · EPSS 0,6% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: system · php

Betroffene Produkte und Versionen

  • commonmark

    Softwareversionen
    • >= 0.6.0, < 2.9.0: Betroffen

    Keine Korrektur veröffentlicht

  • php-league-commonmark Debian:12

    Softwareversionen
    • 2.10.0-1
    • 2.10.1-1
    • 2.10.3-1
    • 2.10.4-1
    • 2.3.9-1
    • 2.3.9-1+deb12u1
    • 2.4.0-1
    • 2.4.1-1
    • 2.4.2-1
    • 2.4.2-2
    • 2.5.0-1
    • 2.5.1-1
    • 2.5.3-1
    • 2.6.0-1
    • 2.6.1-1
    • 2.6.1-2
    • 2.6.2-1
    • 2.7.0-1
    • 2.7.1-1
    • 2.7.1-2
    • 2.8.0-1
    • 2.8.1-1
    • 2.8.2-1
    • 2.8.2-2
    • 2.8.3-1
    • 2.9.0-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • php-league-commonmark Debian:13

    Softwareversionen
    • 2.10.0-1
    • 2.10.1-1
    • 2.10.3-1
    • 2.10.4-1
    • 2.7.0-1
    • 2.7.0-1+deb13u1
    • 2.7.1-1
    • 2.7.1-2
    • 2.8.0-1
    • 2.8.1-1
    • 2.8.2-1
    • 2.8.2-2
    • 2.8.3-1
    • 2.9.0-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • php-league-commonmark Debian:14

    Softwareversionen
    • 2.7.0-1
    • 2.7.1-1
    • 2.7.1-2
    • 2.8.0-1
    • 2.8.1-1
    • 2.8.2-1
    • 2.8.2-2
    • 2.8.3-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 2.9.0-1

    Auf 2.9.0-1 aktualisieren

  • league/commonmark Packagist

    Softwareversionen
    • 0.10.0
    • 0.11.0
    • 0.11.1
    • 0.11.2
    • 0.11.3
    • 0.12.0
    • 0.13.0
    • 0.13.1
    • 0.13.2
    • 0.13.3
    • 0.13.4
    • 0.14.0
    • 0.15.0
    • 0.15.1
    • 0.15.2
    • 0.15.3
    • 0.15.4
    • 0.15.5
    • 0.15.6
    • 0.15.7
    • 0.16.0
    • 0.17.0
    • 0.17.1
    • 0.17.2
    • 0.17.3
    • 0.17.4
    • 0.17.5
    • 0.18.0
    • 0.18.1
    • 0.18.2
    • 0.18.3
    • 0.18.4
    • 0.18.5
    • 0.19.0
    • 0.19.1
    • 0.19.2
    • 0.19.3
    • 0.6.0
    • 0.6.1
    • 0.7.0
    • 0.7.1
    • 0.7.2
    • 0.8.0
    • 0.9.0
    • 1.0.0
    • 1.0.0-beta1
    • 1.0.0-beta2
    • 1.0.0-beta3
    • 1.0.0-beta4
    • 1.0.0-rc1
    • 1.1.0
    • 1.1.1
    • 1.1.2
    • 1.1.3
    • 1.2.0
    • 1.2.1
    • 1.2.2
    • 1.3.0
    • 1.3.1
    • 1.3.2
    • 1.3.3
    • 1.3.4
    • 1.4.0
    • 1.4.1
    • 1.4.2
    • 1.4.3
    • 1.5.0
    • 1.5.1
    • 1.5.2
    • 1.5.3
    • 1.5.4
    • 1.5.5
    • 1.5.6
    • 1.5.7
    • 1.5.8
    • 1.6.0
    • 1.6.1
    • 1.6.2
    • 1.6.3
    • 1.6.4
    • 1.6.5
    • 1.6.6
    • 1.6.7
    • 2.0.0
    • 2.0.0-beta1
    • 2.0.0-beta2
    • 2.0.0-beta3
    • 2.0.0-rc1
    • 2.0.0-rc2
    • 2.0.1
    • 2.0.2
    • 2.0.3
    • 2.0.4
    • 2.1.0
    • 2.1.1
    • 2.1.2
    • 2.1.3
    • 2.2.0
    • 2.2.1
    • 2.2.2
    • 2.2.3
    • 2.2.4
    • 2.2.5
    • 2.3.0
    • 2.3.1
    • 2.3.2
    • 2.3.3
    • 2.3.4
    • 2.3.5
    • 2.3.6
    • 2.3.7
    • 2.3.8
    • 2.3.9
    • 2.4.0
    • 2.4.1
    • 2.4.2
    • 2.4.3
    • 2.4.4
    • 2.5.0
    • 2.5.1
    • 2.5.2
    • 2.5.3
    • 2.6.0
    • 2.6.1
    • 2.6.2
    • 2.7.0
    • 2.7.1
    • 2.8.0
    • 2.8.1
    • 2.8.2
    • 2.8.3
    Betroffene Versionsbereiche
    • ECOSYSTEM: ≥ 0.6.0, < 2.9.0

    Auf 2.9.0 aktualisieren

  • markdown Ubuntu:16.04:LTS

    Softwareversionen
    • 1.0.1-7
    • 1.0.1-8
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • markdown Ubuntu:18.04:LTS

    Softwareversionen
    • 1.0.1-9
    • 1.0.1-10
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • markdown Ubuntu:20.04:LTS

    Softwareversionen
    • 1.0.1-10
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • commonmark Ubuntu:22.04:LTS

    Softwareversionen
    • 0.9.1-3
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • markdown Ubuntu:22.04:LTS

    Softwareversionen
    • 1.0.1-10.1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • commonmark Ubuntu:24.04:LTS

    Softwareversionen
    • 0.9.1-4
    • 0.9.1-5
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • markdown Ubuntu:24.04:LTS

    Softwareversionen
    • 1.0.1-12
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • commonmark Ubuntu:26.10

    Softwareversionen
    • 0.9.1-8build1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • markdown Ubuntu:26.10

    Softwareversionen
    • 1.0.1-14
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • commonmark Ubuntu:26.04:LTS

    Softwareversionen
    • 0.9.1-8
    • 0.9.1-8build1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • markdown Ubuntu:26.04:LTS

    Softwareversionen
    • 1.0.1-14
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

Originalquellen

Prüfen Sie Ihren Server →