CVE-2022-21681highCWE-1333CWE-400

CVE-2022-21681: falha de alta gravidade em markedjs marked

Exponential catastrophic backtracking (ReDoS) in marked

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar marked+ Monitorar marked

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 7.5epss 2.7%
Em resumo

O Marked, um analisador de markdown, possui um erro em sua expressão regular que pode causar lentidão extrema ao processar certas strings maliciosas, podendo congelar ou derrubar aplicações que analisam markdown não confiável sem controle de recursos.

Detalhe técnico

A regex inline.reflinkSearch sofre de retrocesso catastrófico exponencial (ReDoS) ao processar padrões de entrada específicos, permitindo negação de serviço contra aplicações que analisam markdown não confiável. A exploração requer que a vítima processe uma string markdown malformada em versões vulneráveis do marked anteriores à 4.0.10; o impacto é indisponibilidade por esgotamento de CPU.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Marked is a markdown parser and compiler. Prior to version 4.0.10, the regular expression `inline.reflinkSearch` may cause catastrophic backtracking against some strings and lead to a denial of service (DoS). Anyone who runs untrusted markdown through a vulnerable version of marked and does not use a worker with a time limit may be affected. This issue is patched in version 4.0.10. As a workaround, avoid running untrusted markdown through marked or run marked on a worker thread and set a reasonable time limit to prevent draining resources.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Produtos afetados
markedjs · marked
CVEs relacionadas — markedjs marked

No mesmo produto, das mais perigosas para as menos.

CVE-2022-21680HIGHCubic catastrophic backtracking (ReDoS) in markedEPSS 2.8%CVE-2021-21306MEDIUMDenial of Service in MarkedEPSS 2.5%CVE-2026-41680HIGHMarked: OOM Denial of Service via Infinite Recursion in marked TokenizerEPSS 0.3%