CVE-2022-21681highCWE-1333CWE-400

CVE-2022-21681: fallo de gravedad alta en markedjs marked

Exponential catastrophic backtracking (ReDoS) in marked

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear marked+ Monitorear marked

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

21Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 7.5epss 2.7%
En resumen

Marked, un analizador de markdown, contiene un error en su expresión regular que puede causar lentitud extrema al procesar ciertas cadenas maliciosas, potencialmente congelando o derribando aplicaciones que analizan markdown no confiable sin límites de recursos.

Detalle técnico

La regex inline.reflinkSearch presenta retroceso catastrófico exponencial (ReDoS) al procesar patrones de entrada específicos, permitiendo denegación de servicio contra aplicaciones que analizan markdown no confiable. La explotación requiere que la víctima procese una cadena markdown malformada en versiones vulnerables de marked anteriores a 4.0.10; el impacto es indisponibilidad por agotamiento de CPU.

Resumen generado y traducido por IA a partir de la descripción oficial.
Marked is a markdown parser and compiler. Prior to version 4.0.10, the regular expression `inline.reflinkSearch` may cause catastrophic backtracking against some strings and lead to a denial of service (DoS). Anyone who runs untrusted markdown through a vulnerable version of marked and does not use a worker with a time limit may be affected. This issue is patched in version 4.0.10. As a workaround, avoid running untrusted markdown through marked or run marked on a worker thread and set a reasonable time limit to prevent draining resources.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Productos afectados
markedjs · marked
CVEs relacionadas — markedjs marked

En el mismo producto, de las más peligrosas a las menos.

CVE-2022-21680HIGHCubic catastrophic backtracking (ReDoS) in markedEPSS 2.8%CVE-2021-21306MEDIUMDenial of Service in MarkedEPSS 2.5%CVE-2026-41680HIGHMarked: OOM Denial of Service via Infinite Recursion in marked TokenizerEPSS 0.3%