حجب الخدمة بالوقت التربيعي في Mistune من الإصدار 3.3.0 حتى ما قبل 3.3.4 عبر _process_emphasis_delimiters

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

يحتوي منتج Mistune من الإصدار 3.3.0 حتى ما قبل 3.3.4 على ثغرة حجب الخدمة تتيح للمهاجمين عن بُعد استنزاف وحدة المعالجة المركزية من خلال معالجة محددات التمييز بزمن تربيعي. يمكن للمهاجمين إرسال مستندات ماركداون صغيرة تحتوي على أنماط متكررة مثل "*a_b" لتحفيز حلقة إصلاح الفهارس O(n²)، مما يؤدي إلى توقف العمال لعدة ثوانٍ.

المعالجة

1. أحصِ جميع نشرات lepture mistune، بما فيها بيئات الاختبار.
2. رقِّ lepture mistune إلى الإصدار 3.3.4.
3. تحقق من الإصدار العامل بعد الترقية.

المراجع

• تصحيحhttps://github.com/lepture/mistune/commit/b4dd3284e52ec741ed9a227db29ade9017828e90
• تحذيرhttps://github.com/lepture/mistune/security/advisories/GHSA-qp42-r9j6-83g9
• تحذيرhttps://www.vulncheck.com/advisories/mistune-3.3.0-before-3.3.4-quadratic-time-dos-via-process-emphasis-delimiters