Уязвимости markdown-itmarkdown-it: известные уязвимости и безопасные версии

Уязвимости и безопасная версия по веткам

Безопасная версия: в этой ветке она и все следующие (до последней версии ветки, если она известна) не попадают ни в один известный диапазон. Кандидаты — только версии исправлений из самих записей и последняя версия ветки; «Исправления нет» означает, что с ветки нужно уходить.

Даты поддержки показаны только для библиотек, которые отслеживает endoflife.date.

Записи

Сначала новые. Диапазоны взяты из самой записи; несколько диапазонов означают отдельные исправления для веток.

• CVE-2026-1117582026-10-20

  markdown-it: Quadratic-time rendering of a single multi-line link reference definition with default options (regression since 14.0)

  Затронутые версии: >= 14.1.0, < 14.3.3 · >= 15.0.0, < 15.0.3

  высокая 7.5

  Исправлено в: 14.3.3, 15.0.3

• CVE-2026-1117662026-10-19

  markdown-it: Quadratic-time denial of service in inline HTML parsing with html enabled

  Затронутые версии: < 14.3.3 · >= 15.0.0, < 15.0.3

  низкая 3.7

  Исправлено в: 14.3.3, 15.0.3

• CVE-2026-1117592026-10-19

  markdown-it: Quadratic complexity in smartquotes with unmatched closing quotes

  Затронутые версии: >= 15.0.0, < 15.0.2 · < 14.3.2

  высокая 7.5

  Исправлено в: 14.3.2, 15.0.2

• GHSA-253c-mchw-3w2r2026-09-29

  markdown-it linkify: true has two quadratic paths, so a few hundred KB of markdown blocks the event loop for tens of seconds

  Затронутые версии: >= 15.0.0, < 15.0.1 · < 14.3.1

  средняя

  Исправлено в: 14.3.1, 15.0.1

• CVE-2026-489882026-06-17

  markdown-it: Quadratic complexity DoS in smartquotes rule via replaceAt string operations

  Затронутые версии: < 14.2.0

  средняя 5.3

  Исправлено в: 14.2.0

• CVE-2026-23272026-02-12

  Versions of the package markdown-it from 13.0.0 and before 14.1.1 are vulnerable to Regular Expression Denial of Service (ReDoS) due to the

  Затронутые версии: >= 13.0.0, < 14.1.1

  средняя 5.5

  Исправлено в: 14.1.1

• CVE-2015-100052022-12-27

  markdown-it html_re.js redos

  Затронутые версии: < 3.0.0

  высокая 7.5

  Исправлено в: 3.0.0

  EPSS 1%

• CVE-2022-216702022-01-10

  Uncontrolled Resource Consumption in markdown-it

  Затронутые версии: < 12.3.2

  средняя 5.3

  Исправлено в: 12.3.2

  EPSS 2,2%

• CVE-2015-32952017-06-07

  markdown-it before 4.1.0 does not block data: URLs.

  Затронутые версии: < 4.1.0

  средняя 5.3

  Исправлено в: 4.1.0

  EPSS 1,2%

• без CVE

  Cross-site Scripting (XSS)

  Затронутые версии: >= 4.0.0, < 4.3.1

  средняя

  Исправлено в: 4.3.1

• без CVE

  Fixed crash/infinite loop caused by linkify inline rule

  Затронутые версии: < 13.0.2

  средняя

  Исправлено в: 13.0.2

• без CVE

  Regular Expression Denial of Service (ReDoS)

  Затронутые версии: < 10.0.0

  средняя

  Исправлено в: 10.0.0