markdown-it : déni de service algorithmique par définition de référence multilignes

Veille sécuritéBackend & données

P3Élevée

markdown-it peut traiter en temps quadratique une définition de référence Markdown multilignes dont le libellé ou le titre reste ouvert, même avec les options par défaut. Si une application Node.js rend du Markdown contrôlé par un utilisateur, mettez à niveau vers markdown-it 14.3.3 ou 15.0.3 selon la branche utilisée.

IdentifiantCVE-2026-111758

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif14.3.3; 15.0.3

Source : GHSA-gfr2-rv44-r23c — GitHub Advisory Database

Analyse technique

L’accumulation de lignes suivie d’opérations de lecture et de découpage de chaînes dans la règle de références provoque une complexité quadratique sur une entrée malformée. L’avis indique que quelques centaines de kilo-octets peuvent bloquer la boucle événementielle Node.js pendant plusieurs secondes.

Impact, versions et correctif

Événement datéL’avis GitHub a été publié le 2026-10-20T20:28:44Z, dans la période retenue; il signale la vulnérabilité et les versions corrigées.

ImpactLe rendu d’une entrée spécialement malformée peut monopoliser la boucle événementielle Node.js et entraîner un déni de service.

Versions affectéesmarkdown-it >=14.1.0 et =15.0.0 et <15.0.3

Version corrigée14.3.3; 15.0.3

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.5

Publication2026-10-20T20:28:44Z

Mise à jour2026-10-20T20:28:46Z

Action recommandée

Mettre à niveau markdown-it vers 14.3.3 ou 15.0.3 selon la branche utilisée; limiter également la taille des entrées Markdown non fiables si une mise à niveau immédiate est impossible.

Sources

GHSA-gfr2-rv44-r23c — GitHub Advisory Database

Priorisation DFS : P3 · 1 source(s).