CVE-2022-21680highCWE-1333CWE-400

CVE-2022-21680: falha de alta gravidade em markedjs marked

Cubic catastrophic backtracking (ReDoS) in marked

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar marked+ Monitorar marked

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 7.5epss 2.8%
Em resumo

O Marked, um analisador de markdown, possui uma falha no seu código de busca de padrões que pode ser explorada enviando texto markdown especialmente construído, fazendo o analisador travar ou consumir recursos excessivos e ficar indisponível.

Detalhe técnico

A expressão regular no padrão `block.def` apresenta retrocesso catastrófico (ReDoS) ao processar certas entradas de markdown maliciosas. Um atacante pode enviar strings de markdown elaboradas para disparar tempo de correspondência exponencial na regex, resultando em negação de serviço. Isso afeta qualquer aplicação que processe markdown não confiável com versões do marked anteriores à 4.0.10 sem limites de recursos ou isolamento em thread.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Marked is a markdown parser and compiler. Prior to version 4.0.10, the regular expression `block.def` may cause catastrophic backtracking against some strings and lead to a regular expression denial of service (ReDoS). Anyone who runs untrusted markdown through a vulnerable version of marked and does not use a worker with a time limit may be affected. This issue is patched in version 4.0.10. As a workaround, avoid running untrusted markdown through marked or run marked on a worker thread and set a reasonable time limit to prevent draining resources.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Produtos afetados
markedjs · marked
CVEs relacionadas — markedjs marked

No mesmo produto, das mais perigosas para as menos.

CVE-2022-21681HIGHExponential catastrophic backtracking (ReDoS) in markedEPSS 2.7%CVE-2021-21306MEDIUMDenial of Service in MarkedEPSS 2.5%CVE-2026-41680HIGHMarked: OOM Denial of Service via Infinite Recursion in marked TokenizerEPSS 0.3%