league/commonmark: kwadratische denial-of-service in GFM-tabelextensie (CVE-2026-105830)

Wat is er gebeurd

Een kwetsbaarheid met kenmerk CVE-2026-105830 (GHSA-3q6v-r5mr-hxv8) is gepubliceerd voor league/commonmark, een PHP-bibliotheek voor het parsen van Markdown. Het gaat om een denial-of-service-probleem met kwadratische tijdscomplexiteit, gelokaliseerd in de block-start-scan van de functie TableStartParser::tryStart() binnen de GitHub Flavored Markdown-tabelextensie.

Technische oorzaak

De kwetsbaarheid is geclassificeerd als CWE-400 (Uncontrolled Resource Consumption / ongecontroleerd resourceverbruik). Volgens het advies kan een aanvaller een grote alinea aanbieden die bestaat uit regels zonder pipe-tekens die niet met een letter beginnen. Deze invoer dwingt de functie TableStartParser::tryStart() om herhaaldelijk volledige buffer-scans met strpos uit te voeren, wat resulteert in kwadratische verwerkingstijd en uitputting van de CPU-capaciteit van PHP-workers.

Waarom dit belangrijk is

De kwetsbaarheid kan worden uitgelokt door niet-geauthenticeerde aanvallers zonder dat enige gebruikersinteractie nodig is. Elke applicatie die onvertrouwde gebruikersinvoer doorgeeft aan de GFM-tabelextensie van CommonMark kan hierdoor blootstaan aan CPU-uitputting, met verminderde beschikbaarheid of uitval van de dienst als gevolg.

Wie wordt getroffen

Elke applicatie of dienst die league/commonmark gebruikt met de GitHub Flavored Markdown-tabelextensie ingeschakeld, binnen het getroffen versiebereik, loopt mogelijk risico. Dit omvat PHP-applicaties die door gebruikers aangeleverde Markdown-content renderen, zoals commentaarsystemen, documentatietools of contentmanagementplatforms.

Getroffen versies

league/commonmark versies vanaf 2.0.0 tot en met 2.10.1 zijn kwetsbaar. Versie 2.10.2 bevat de oplossing.

Oplossingen en mitigatie

De kwetsbaarheid is verholpen in league/commonmark versie 2.10.2. Gebruikers van getroffen versies (2.0.0 t/m 2.10.1) wordt aangeraden te updaten naar 2.10.2 om het probleem te verhelpen.

Aanbevolen actie

Sitebeheerders en ontwikkelaars die league/commonmark gebruiken, wordt aangeraden zo snel mogelijk te updaten naar versie 2.10.2, met name wanneer de GitHub Flavored Markdown-tabelextensie actief is en de bibliotheek onvertrouwde of door gebruikers aangeleverde Markdown-invoer verwerkt. Controleer de update in dependency-bestanden (zoals composer.lock) en herimplementeer getroffen diensten.