markdown-it 15.0.2 未闭合链接引用定义致 O(n²) DoS

GitHub 安全公告库（GHSA）公开了 markdown-it 15.0.2 的拒绝服务 PoC：在默认配置下，处理标签或标题未闭合的链接引用定义时，复杂度为 O(n²)，无需任何选项即可触发。 公告称这是 14.0.0 中 PR #1004 引入的回归：13.0.2 处理 313 KB 输入耗时 125 毫秒，此后各版本处理同一输入约需 11 秒。公告给出的修复方向是在 state.src 中跟踪位置，而非拼接 str，或收集行切片后跨切片解析。 PoC 复现步骤为：创建目录、npm init、安装 [email protected]，再运行 poc_markdown_it.js。

AI 根据报道生成 · 2 天前更新

还没有足够的连续观测数据，暂不绘制趋势。