Mistune: Quadratische Laufzeit als Denial of Service im Inline-Link-Parser

Zusammenfassung

Mistune, ein Markdown-Parser für Python, benötigt sehr lange für die Verarbeitung von Markdown mit vielen nicht geschlossenen '[' oder '![' Zeichen. Ein nicht authentifizierter Angreifer kann eine kleine, präparierte Eingabe senden, die den Parser wiederholt den RestText durchsuchen lässt, wodurch CPU und Worker-Prozesse minutenlang belegt werden. Die Auswirkung ist ein Denial of Service; Datenverlust oder Codeausführung werden nicht beschrieben. Die Exponierung hängt davon ab, ob eine Anwendung unvertrauenswürdiges Markdown mit einer verwundbaren Version rendert.

Betroffen

• lepture mistune (Python-Paket): 3.0.0 bis unter 3.3.0
• Versionen vor 3.0.0: Unbekannt.

Behoben in

• Auf mistune 3.3.0 oder neuer aktualisieren.

Umgehung

Unbekannt. Es wurde kein Workaround des Herstellers gefunden; das Aktualisieren auf 3.3.0 ist die Behebung.

• Provisorische Massnahmen (vom Research-Team vorgeschlagen, nicht aus einer Quelle): Grösse der Markdown-Eingaben begrenzen, Request-Timeouts und Worker-Recycling im Application Server erzwingen sowie Rate Limiting am Reverse Proxy für Endpunkte einsetzen, die Benutzer-Markdown rendern.

Ausnutzung

• Zum Zeitpunkt der Recherche wurde kein öffentlicher Proof of Concept gefunden.
• Es ist nicht bekannt, dass die Lücke aktiv ausgenutzt wird; nicht gegen den CISA-KEV-Katalog geprüft.
• CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.

Unsere Empfehlung

• Python-Anwendungen inventarisieren, die mistune verwenden, einschliesslich Requirements-Dateien und Lockfiles.
• mistune auf 3.3.0 oder neuer aktualisieren.
• Vendor- oder Distributionspakete prüfen, die eventuell eine ältere Version enthalten.
• Internetseitig erreichbare Anwendungen priorisieren, die Markdown von unvertrauenswürdigen Benutzern rendern, etwa Kommentare, Tickets, Wikis oder Chat-Funktionen.
• Diese Dienste auf Worker-Timeouts und hohe CPU-Auslastung überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-x2gr-6qf2-fc9x github.com
• VulnCheck Advisory: Mistune before 3.3.0 Quadratic-Time DoS via parse_link_text www.vulncheck.com
• OSV: CVE-2026-115348 osv.dev
• mistune v3.3.0 release notes github.com
• VulDB 425397 vuldb.com
• Ubuntu Security: CVE-2026-115348 ubuntu.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:42.