p PatchFirst

CVE-2026-71488

CVE-2026-71488 · league/commonmark: Quadratic-time denial of service when parsing crafted Markdown

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

league/commonmark is a PHP library for parsing and rendering CommonMark Markdown. From 0.6.0 until 2.9.0, specially crafted Markdown lines can cause the parser to have quadratic time complexity when converting, because several parsing paths repeatedly rescan growing portions of a line to translate between character positions and byte positions, and the Autolink extension can also copy and validate the remaining line at every URL-like prefix, allowing an attacker who can submit Markdown for conversion to consume disproportionate CPU time with a comparatively small request. This issue is fixed in 2.9.0.

CVSS 7.5 · Élevée · EPSS 0,6% · Correctif disponible

Publication
Mise à jour

Pile logicielle: system · php

Produits et versions concernés

  • commonmark

    Versions du logiciel
    • >= 0.6.0, < 2.9.0: Concernée

    Aucun correctif publié

  • php-league-commonmark Debian:12

    Versions du logiciel
    • 2.10.0-1
    • 2.10.1-1
    • 2.10.3-1
    • 2.10.4-1
    • 2.3.9-1
    • 2.3.9-1+deb12u1
    • 2.4.0-1
    • 2.4.1-1
    • 2.4.2-1
    • 2.4.2-2
    • 2.5.0-1
    • 2.5.1-1
    • 2.5.3-1
    • 2.6.0-1
    • 2.6.1-1
    • 2.6.1-2
    • 2.6.2-1
    • 2.7.0-1
    • 2.7.1-1
    • 2.7.1-2
    • 2.8.0-1
    • 2.8.1-1
    • 2.8.2-1
    • 2.8.2-2
    • 2.8.3-1
    • 2.9.0-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • php-league-commonmark Debian:13

    Versions du logiciel
    • 2.10.0-1
    • 2.10.1-1
    • 2.10.3-1
    • 2.10.4-1
    • 2.7.0-1
    • 2.7.0-1+deb13u1
    • 2.7.1-1
    • 2.7.1-2
    • 2.8.0-1
    • 2.8.1-1
    • 2.8.2-1
    • 2.8.2-2
    • 2.8.3-1
    • 2.9.0-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • php-league-commonmark Debian:14

    Versions du logiciel
    • 2.7.0-1
    • 2.7.1-1
    • 2.7.1-2
    • 2.8.0-1
    • 2.8.1-1
    • 2.8.2-1
    • 2.8.2-2
    • 2.8.3-1
    Plages de versions concernées
    • ECOSYSTEM: < 2.9.0-1

    Mettez à jour vers 2.9.0-1

  • league/commonmark Packagist

    Versions du logiciel
    • 0.10.0
    • 0.11.0
    • 0.11.1
    • 0.11.2
    • 0.11.3
    • 0.12.0
    • 0.13.0
    • 0.13.1
    • 0.13.2
    • 0.13.3
    • 0.13.4
    • 0.14.0
    • 0.15.0
    • 0.15.1
    • 0.15.2
    • 0.15.3
    • 0.15.4
    • 0.15.5
    • 0.15.6
    • 0.15.7
    • 0.16.0
    • 0.17.0
    • 0.17.1
    • 0.17.2
    • 0.17.3
    • 0.17.4
    • 0.17.5
    • 0.18.0
    • 0.18.1
    • 0.18.2
    • 0.18.3
    • 0.18.4
    • 0.18.5
    • 0.19.0
    • 0.19.1
    • 0.19.2
    • 0.19.3
    • 0.6.0
    • 0.6.1
    • 0.7.0
    • 0.7.1
    • 0.7.2
    • 0.8.0
    • 0.9.0
    • 1.0.0
    • 1.0.0-beta1
    • 1.0.0-beta2
    • 1.0.0-beta3
    • 1.0.0-beta4
    • 1.0.0-rc1
    • 1.1.0
    • 1.1.1
    • 1.1.2
    • 1.1.3
    • 1.2.0
    • 1.2.1
    • 1.2.2
    • 1.3.0
    • 1.3.1
    • 1.3.2
    • 1.3.3
    • 1.3.4
    • 1.4.0
    • 1.4.1
    • 1.4.2
    • 1.4.3
    • 1.5.0
    • 1.5.1
    • 1.5.2
    • 1.5.3
    • 1.5.4
    • 1.5.5
    • 1.5.6
    • 1.5.7
    • 1.5.8
    • 1.6.0
    • 1.6.1
    • 1.6.2
    • 1.6.3
    • 1.6.4
    • 1.6.5
    • 1.6.6
    • 1.6.7
    • 2.0.0
    • 2.0.0-beta1
    • 2.0.0-beta2
    • 2.0.0-beta3
    • 2.0.0-rc1
    • 2.0.0-rc2
    • 2.0.1
    • 2.0.2
    • 2.0.3
    • 2.0.4
    • 2.1.0
    • 2.1.1
    • 2.1.2
    • 2.1.3
    • 2.2.0
    • 2.2.1
    • 2.2.2
    • 2.2.3
    • 2.2.4
    • 2.2.5
    • 2.3.0
    • 2.3.1
    • 2.3.2
    • 2.3.3
    • 2.3.4
    • 2.3.5
    • 2.3.6
    • 2.3.7
    • 2.3.8
    • 2.3.9
    • 2.4.0
    • 2.4.1
    • 2.4.2
    • 2.4.3
    • 2.4.4
    • 2.5.0
    • 2.5.1
    • 2.5.2
    • 2.5.3
    • 2.6.0
    • 2.6.1
    • 2.6.2
    • 2.7.0
    • 2.7.1
    • 2.8.0
    • 2.8.1
    • 2.8.2
    • 2.8.3
    Plages de versions concernées
    • ECOSYSTEM: ≥ 0.6.0, < 2.9.0

    Mettez à jour vers 2.9.0

  • markdown Ubuntu:16.04:LTS

    Versions du logiciel
    • 1.0.1-7
    • 1.0.1-8
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • markdown Ubuntu:18.04:LTS

    Versions du logiciel
    • 1.0.1-9
    • 1.0.1-10
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • markdown Ubuntu:20.04:LTS

    Versions du logiciel
    • 1.0.1-10
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • commonmark Ubuntu:22.04:LTS

    Versions du logiciel
    • 0.9.1-3
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • markdown Ubuntu:22.04:LTS

    Versions du logiciel
    • 1.0.1-10.1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • commonmark Ubuntu:24.04:LTS

    Versions du logiciel
    • 0.9.1-4
    • 0.9.1-5
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • markdown Ubuntu:24.04:LTS

    Versions du logiciel
    • 1.0.1-12
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • commonmark Ubuntu:26.10

    Versions du logiciel
    • 0.9.1-8build1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • markdown Ubuntu:26.10

    Versions du logiciel
    • 1.0.1-14
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • commonmark Ubuntu:26.04:LTS

    Versions du logiciel
    • 0.9.1-8
    • 0.9.1-8build1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • markdown Ubuntu:26.04:LTS

    Versions du logiciel
    • 1.0.1-14
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

Sources originales

Vérifiez votre serveur →