commonmark SmartPunct & Attributes DoS (CVE-407/CVE-1090)

漏洞关键信息总结 漏洞概述 漏洞名称：SmartPunct 和 Attributes 扩展中的拒绝服务（DoS）漏洞 CVE 编号：CVE-407、CVE-1090 严重等级：High（7.5 / 10） 漏洞类型：未认证攻击者可通过构造特定输入，使解析过程消耗不成比例的 CPU 时间，导致合法请求被阻塞（拒绝服务）。 影响范围 受影响包： （Composer） 受影响版本： 修复版本： 具体影响： 1. SmartPunctExtension：引号替换逻辑会反复读取、修改并写回整个文本节点，导致 O(n²) 复杂度。 2. AttributesExtension：块级属性节点在每次运行时重复扫描，造成大量冗余计算。 3. AttributesExtension：类实例在每次运行时重复创建，导致内存和 CPU 开销激增。 修复方案 补丁版本：问题已在 及更高版本中修复。 修复内容： - 相邻文本合并改为原地追加，而非读取、修改、写回整个文本。 - 块级属性节点扫描改为单次遍历，避免重复扫描。 - 累积类实例不再通过 重复创建，改为单次传递。 临时缓解措施（Workarounds） 在转换链中不注册 或 ，可完全移除受影响路径。 若必须使用，应在转换前对输入长度设置严格上限，因为开销是二次方增长。 限制转换的墙钟时间、限制速率、或禁用相关配置选项（如 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、`maxNesting

目標達成すべての支援者に感謝 — 100%達成しました！

commonmark SmartPunct & Attributes DoS (CVE-407/CVE-1090)

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

commonmark SmartPunct & Attributes DoS (CVE-407/CVE-1090)

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！