Mistune: Quadratische Denial-of-Service-Schwachstelle durch unausgeglichene eckige Klammern

Zusammenfassung

Mistune vor 3.3.0 ist ein Markdown-Parser für Python. Die Funktion parse_link_text durchsucht bei langen Folgen nicht geschlossener eckiger Klammern wiederholt den restlichen Text, sodass die Verarbeitungszeit quadratisch mit der Eingabegrösse wächst. Ein entfernter Angreifer, der Markdown an eine Anwendung mit mistune.html()-Aufruf übermitteln kann, kann Worker-Prozesse ohne Authentifizierung minutenlang blockieren.

Betroffen

• lepture mistune Versionen vor 3.3.0 (Advisory nennt 3.2.0 und 3.2.1 als betroffen)

Behoben in

• Auf mistune 3.3.0 oder neuer aktualisieren

Umgehung

• Unbekannt. In den geprüften Quellen ist kein Workaround des Herstellers dokumentiert.
• Wenn das Update verzögert wird, die Grösse von benutzerseitig eingegebenem Markdown begrenzen und Request- bzw. Worker-Timeouts setzen.

Ausnutzung

• Nicht bekannt, dass die Schwachstelle aktiv ausgenutzt wird; zum Zeitpunkt der Recherche nicht im CISA KEV-Katalog.
• CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
• Öffentlicher Proof of Concept: Das Upstream-Advisory enthält ein Reproduktionsskript; sonst ist der Exploit-Status unbekannt.

Unsere Empfehlung

• Alle Systeme mit mistune unter 3.3.0 identifizieren, einschliesslich transitiver Abhängigkeiten (zum Beispiel über Jupyter/nbconvert); pip freeze oder SBOMs prüfen.
• Auf mistune 3.3.0 oder neuer aktualisieren, mit Priorität für öffentlich erreichbare Anwendungen, die benutzerseitiges Markdown rendern.
• Bis zur Korrektur die Grösse der Markdown-Eingaben begrenzen und Worker-Timeouts erzwingen.
• Dienste auf blockierte Worker und hohe CPU-Last überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-f32h-38gf-rg5r github.com
• VulnCheck Advisory www.vulncheck.com
• Ubuntu Security CVE-2026-115347 ubuntu.com
• VulDB 425393 vuldb.com
• HOL Guard CVE-2026-115347 hol.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:41.