Python-Markdown: Denial of Service durch unpaarige Klammern beim Link-Parsing
Zusammenfassung
Python-Markdown in den Versionen 3.0 bis 3.11.2 enthält eine Schwachstelle mit algorithmischer Komplexität beim Parsen von Inline-Links. Ein entfernter Angreifer kann kurzes Markdown mit vielen nicht geschlossenen [- oder ![-Zeichen senden, wodurch quadratische Durchsuchungen ausgelöst werden und Server-Worker über Minuten ausgelastet sein können. Es sind keine Berechtigungen und keine Benutzerinteraktion nötig, das Risiko besteht jedoch nur, wenn eine Anwendung Markdown aus nicht vertrauenswürdigen Quellen rendert.
Betroffen
- Python-Markdown 3.0 bis 3.11.2
Behoben in
Unbekannt. Es ist kein korrigierter Release bestätigt. Prüfen Sie die Upstream-Releases nach 3.11.2.
Umgehung
- Keine Workaround des Herstellers dokumentiert.
- Grösse des von Benutzern akzeptierten Markdowns begrenzen.
Ausnutzung
- Es ist keine Ausnutzung in freier Wildbahn bekannt.
- Technische Details sind öffentlich verfügbar (Issues #798 und #1654).
Unsere Empfehlung
- Erfassen Sie, wo Python-Markdown direkt oder über MkDocs und andere Tools eingesetzt wird.
- Priorisieren Sie öffentlich erreichbare Anwendungen, die Markdown von Benutzern entgegennehmen.
- Begrenzen Sie die Grösse von benutzerseitig übermitteltem Markdown und rendern Sie es mit einem Timeout.
- Prüfen Sie auf eine Korrektur upstream und aktualisieren Sie, sobald eine bestätigt ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- VulnCheck advisory www.vulncheck.com
- Python-Markdown issue #798 github.com
- Python-Markdown issue #1654 github.com
- Python-Markdown source inlinepatterns.py github.com
- Python-Markdown pull request #1662 github.com
- Python-Markdown pull request #1664 github.com
- Python-Markdown changelog python-markdown.github.io
- VulDB CVE-2019-25781 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 23:41.
Referenzen der NVD (5)
- https://github.com/Python-Markdown/markdown
- https://github.com/Python-Markdown/markdown/blob/b41e0aaf1181f1a8cb200cf5a815aad7c0020d23/markdown/inlinepatt…
- https://github.com/Python-Markdown/markdown/issues/1654
- https://github.com/Python-Markdown/markdown/issues/798
- https://www.vulncheck.com/advisories/python-markdown-3.0-through-3.11.2-denial-of-service-via-link-bracket-pa…
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.