league/commonmark: Quadratische Denial-of-Service-Schwachstelle im GFM-Table-Parser
Zusammenfassung
league/commonmark ab 2.0.0 vor 2.10.2 enthält eine Denial-of-Service-Schwachstelle mit quadratischer Laufzeit in der Table-Erweiterung für GitHub Flavored Markdown. Der Block-Start-Scan durchsucht bei jeder Zeile den gesamten Absatzpuffer erneut. Ein nicht authentifizierter Angreifer kann einen grossen Absatz aus Zeilen ohne Pipe-Zeichen senden, die nicht mit einem Buchstaben beginnen. Dadurch werden die CPU-Ressourcen der PHP-Worker erschöpft, und der Dienst kann nicht mehr antworten. Die Table-Erweiterung ist im GFM-Bundle standardmässig aktiviert, daher sind Anwendungen betroffen, die nicht vertrauenswürdiges Markdown rendern, auch wenn sie keine Tabellen verwenden.
Betroffen
- league/commonmark ab 2.0.0 vor 2.10.2
- Das Herstellerdokument nennt den Bereich bis 2.10.1
- Betroffene Funktion: TableStartParser::tryStart (GFM-Table-Erweiterung)
Behoben in
- Auf 2.10.2 oder neuer aktualisieren (2.10.2 ist der Upstream-Fix; neuere Versionen 2.10.3 und 2.10.4 werden in Downstream-Projekten genannt, wurden aber nicht gegen die Upstream-Releaseliste geprüft)
Umgehung
- Die Grösse von nicht vertrauenswürdigem Markdown begrenzen, das zur Konvertierung akzeptiert wird
- Die Table-Erweiterung für nicht vertrauenswürdige Eingaben deaktivieren, soweit praktikabel
- Diese Massnahmen reduzieren die Exposition, entfernen aber den verwundbaren Codepfad nicht; das Aktualisieren ist die eigentliche Behebung
Ausnutzung
- CISA SSVC: Ausnutzungsstatus 'poc', automatisierbar 'yes', technische Auswirkung 'partial'
- Das GitHub-Advisory enthält ein kurzes Reproduktionsskript, der Auslöser ist daher öffentlich bekannt
- Keine Ausnutzung in freier Wildbahn gefunden; CISA-KEV-Status nicht geprüft
- Der Angriff benötigt keine Authentifizierung und keine Benutzerinteraktion
Unsere Empfehlung
- Alle PHP-Projekte und Composer-Lock-Dateien finden, die league/commonmark enthalten, einschliesslich transitiver Abhängigkeiten (zum Beispiel über laravel/framework)
- Auf 2.10.2 oder neuer aktualisieren, so rasch wie möglich
- Falls das Aktualisieren warten muss, die Grösse der Markdown-Eingaben begrenzen und die Table-Erweiterung für nicht vertrauenswürdige Inhalte deaktivieren
- Anfragevolumen und Auslastung der PHP-Worker auf betroffenen Diensten überwachen
- NVD und CISA KEV erneut prüfen, da der NVD-Eintrag noch in Analyse war
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-3q6v-r5mr-hxv8 github.com
- VulnCheck advisory www.vulncheck.com
- OSV GHSA-3q6v-r5mr-hxv8 osv.dev
- GitLab advisory mirror advisories.gitlab.com
- Ubuntu CVE tracker ubuntu.com
- CVEReports analysis cvereports.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 05:17.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.