CVE-2026-115349
Publiée le 2026-10-22 · Dernière modification le 2026-10-26
Les versions 3.0.0 à 3.2.x de Mistune sont concernées. Cette bibliothèque est un analyseur Markdown utilisé pour convertir du texte brut en HTML. La faille réside dans la manière dont le logiciel gère les liens ; plus précisément, il éprouve des difficultés à traiter les crochets imbriqués profondément, ce qui entraîne un problème de complexité algorithmique où le temps d'analyse augmente de façon quadratique.
Un attaquant peut faire planter ou figer votre service en envoyant une petite requête Markdown spécialement conçue qui épuise le processeur du serveur. Cela impacte la disponibilité, rendant concrètement votre application hors ligne. L'attaque est facile à exécuter car elle ne nécessite aucune authentification, aucune interaction de l'utilisateur et peut être effectuée à distance via le réseau.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Mistune from 3.0.0 before 3.3.0 contains an algorithmic complexity denial of service vulnerability in the parse_link_text function in src/mistune/helpers.py. Attackers can submit markdown with deeply nested square brackets triggering quadratic parsing time, exhausting server CPU with small crafted requests.