CVE-2022-21680highCWE-1333CWE-400

CVE-2022-21680: fallo de gravedad alta en markedjs marked

Cubic catastrophic backtracking (ReDoS) in marked

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear marked+ Monitorear marked

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

21Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 7.5epss 2.8%
En resumen

Marked, un analizador de markdown, tiene una falla en su código de coincidencia de patrones que puede explotarse enviando texto markdown especialmente construido, haciendo que el analizador se congele o consuma recursos excesivos y quede indisponible.

Detalle técnico

La expresión regular en el patrón `block.def` exhibe retroceso catastrófico (ReDoS) al procesar cierta entrada de markdown maliciosa. Un atacante puede enviar cadenas de markdown elaboradas para desencadenar tiempo de coincidencia exponencial de regex, resultando en denegación de servicio. Esto afecta a cualquier aplicación que procese markdown no confiable con versiones de marked anteriores a 4.0.10 sin límites de recursos o aislamiento en threads.

Resumen generado y traducido por IA a partir de la descripción oficial.
Marked is a markdown parser and compiler. Prior to version 4.0.10, the regular expression `block.def` may cause catastrophic backtracking against some strings and lead to a regular expression denial of service (ReDoS). Anyone who runs untrusted markdown through a vulnerable version of marked and does not use a worker with a time limit may be affected. This issue is patched in version 4.0.10. As a workaround, avoid running untrusted markdown through marked or run marked on a worker thread and set a reasonable time limit to prevent draining resources.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Productos afectados
markedjs · marked
CVEs relacionadas — markedjs marked

En el mismo producto, de las más peligrosas a las menos.

CVE-2022-21681HIGHExponential catastrophic backtracking (ReDoS) in markedEPSS 2.7%CVE-2021-21306MEDIUMDenial of Service in MarkedEPSS 2.5%CVE-2026-41680HIGHMarked: OOM Denial of Service via Infinite Recursion in marked TokenizerEPSS 0.3%