GitHub 安全公告库 (GHSA)·2026-10-21 04:28· 2 天前精选AI 评分58

markdown-it 15.0.2 默认配置下未闭合链接引用定义导致 O(n²) 复杂度 DoS

markdown-it: Quadratic-time rendering of a single multi-line link reference definition with default options (regression since 14.0)

AI 导读

GHSA-gfr2-rv44-r23c 指出 markdown-it 15.0.2 在默认配置下处理未闭合的链接引用定义标签或标题时呈 O(n²) 复杂度，属 CWE-407 算法复杂度拒绝服务，该问题由 14.0.0 的 PR #1004 引入。

为什么值得看

公告给出可运行的 PoC 与各版本耗时对比，能帮助用 markdown-it 渲染用户内容的服务判断是否需要限制请求体大小。