markdown-it 内联 HTML 解析存在二次方复杂度 DoS

GitHub 安全公告库发布公告称，markdown-it 在开启 `html: true` 时，解析段落内重复的未闭合 HTML 构造（注释、`?>`、`>`、`]]>`）会呈二次时间复杂度，可被用于拒绝服务攻击。公告给出的实测数据是：在 `15.0.2` 上，64,000 次重复的注释载荷耗时 8,799 ms，128,000 次重复、约 500 KiB 的载荷耗时 32,847 ms。 公告称，默认配置（HTML 关闭）不受这些载荷影响；已报告的受影响版本为 `15.0.2`，完整受影响版本范围尚未确定。在修复完成前，关闭 HTML 或限制输入大小可降低暴露风险。

AI 根据报道生成 · 2 天前更新

还没有足够的连续观测数据，暂不绘制趋势。