p PatchFirst

CVE-2026-86429

CVE-2026-86429 · commonmark before 2.9.1 Denial of Service via SmartPunct and Attributes

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

The league/commonmark (thephpleague/commonmark) library in versions >= 1.5.0 and < 2.9.1 contains quadratic parsing complexity in its SmartPunctExtension and AttributesExtension. When either extension is explicitly registered on the Environment (they are not enabled by default and are excluded from the standard CommonMark and GitHub-Flavored Markdown converters), an unauthenticated attacker can submit small, specially crafted Markdown documents — such as text alternating with unpaired quotes, contiguous runs of block-level attribute blocks, or repeated class attributes — to trigger disproportionate CPU consumption and cause a denial of service. Fixed in 2.9.1.

CVSS 8.7 · Élevée · EPSS 0,5% · Correctif disponible

Publication
Mise à jour

Pile logicielle: system · php

Produits et versions concernés

  • commonmark

    Versions du logiciel
    • ≥ 1.5.0, < 2.9.1: Concernée (semver)
    • 2.9.1: Non concernée (semver)

    Mettez à jour vers 2.9.1

  • php-league-commonmark Debian:12

    Versions du logiciel
    • 2.10.0-1
    • 2.10.1-1
    • 2.10.3-1
    • 2.3.9-1
    • 2.3.9-1+deb12u1
    • 2.4.0-1
    • 2.4.1-1
    • 2.4.2-1
    • 2.4.2-2
    • 2.5.0-1
    • 2.5.1-1
    • 2.5.3-1
    • 2.6.0-1
    • 2.6.1-1
    • 2.6.1-2
    • 2.6.2-1
    • 2.7.0-1
    • 2.7.1-1
    • 2.7.1-2
    • 2.8.0-1
    • 2.8.1-1
    • 2.8.2-1
    • 2.8.2-2
    • 2.8.3-1
    • 2.9.0-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • php-league-commonmark Debian:13

    Versions du logiciel
    • 2.10.0-1
    • 2.10.1-1
    • 2.10.3-1
    • 2.7.0-1
    • 2.7.0-1+deb13u1
    • 2.7.1-1
    • 2.7.1-2
    • 2.8.0-1
    • 2.8.1-1
    • 2.8.2-1
    • 2.8.2-2
    • 2.8.3-1
    • 2.9.0-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • php-league-commonmark Debian:14

    Versions du logiciel
    • 2.7.0-1
    • 2.7.1-1
    • 2.7.1-2
    • 2.8.0-1
    • 2.8.1-1
    • 2.8.2-1
    • 2.8.2-2
    • 2.8.3-1
    • 2.9.0-1
    Plages de versions concernées
    • ECOSYSTEM: < 2.10.0-1

    Mettez à jour vers 2.10.0-1

  • league/commonmark Packagist

    Versions du logiciel
    • 1.5.0
    • 1.5.1
    • 1.5.2
    • 1.5.3
    • 1.5.4
    • 1.5.5
    • 1.5.6
    • 1.5.7
    • 1.5.8
    • 1.6.0
    • 1.6.1
    • 1.6.2
    • 1.6.3
    • 1.6.4
    • 1.6.5
    • 1.6.6
    • 1.6.7
    • 2.0.0
    • 2.0.0-beta1
    • 2.0.0-beta2
    • 2.0.0-beta3
    • 2.0.0-rc1
    • 2.0.0-rc2
    • 2.0.1
    • 2.0.2
    • 2.0.3
    • 2.0.4
    • 2.1.0
    • 2.1.1
    • 2.1.2
    • 2.1.3
    • 2.2.0
    • 2.2.1
    • 2.2.2
    • 2.2.3
    • 2.2.4
    • 2.2.5
    • 2.3.0
    • 2.3.1
    • 2.3.2
    • 2.3.3
    • 2.3.4
    • 2.3.5
    • 2.3.6
    • 2.3.7
    • 2.3.8
    • 2.3.9
    • 2.4.0
    • 2.4.1
    • 2.4.2
    • 2.4.3
    • 2.4.4
    • 2.5.0
    • 2.5.1
    • 2.5.2
    • 2.5.3
    • 2.6.0
    • 2.6.1
    • 2.6.2
    • 2.7.0
    • 2.7.1
    • 2.8.0
    • 2.8.1
    • 2.8.2
    • 2.8.3
    • 2.9.0
    Plages de versions concernées
    • ECOSYSTEM: ≥ 1.5.0, < 2.9.1

    Mettez à jour vers 2.9.1

  • php-league-commonmark Ubuntu:Pro:20.04:LTS

    Versions du logiciel
    • 1.1.2-1
    • 1.2.0-1
    • 1.3.0-1
    • 1.3.1-1
    • 1.3.1-1ubuntu2
    • 1.3.1-1ubuntu2+esm1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • php-league-commonmark Ubuntu:Pro:22.04:LTS

    Versions du logiciel
    • 1.5.7-2build1
    • 1.6.6-1build1
    • 1.6.7-1
    • 1.6.7-1ubuntu0.1~esm1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • php-league-commonmark Ubuntu:Pro:24.04:LTS

    Versions du logiciel
    • 2.3.9-1
    • 2.4.1-1
    • 2.4.2-1
    • 2.4.2-2
    • 2.4.2-2ubuntu0.1~esm1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • php-league-commonmark Ubuntu:26.04:LTS

    Versions du logiciel
    • 2.7.0-1
    • 2.7.1-2
    • 2.8.0-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

Sources originales

Vérifiez votre serveur →