markdown-itはMarkdownパーサーです。バージョン14.1.1以下では、typographer:trueが有効になっている場合にサービス拒否（DoS）脆弱性が存在します。これはsmartquotesルールにおける二次式（O(n^2)）の処理に起因しています。この問題は、replaceAt()によって文字列を繰り返し変更することから生じており、この関数は引用符ごとにO(n)のスライスと連結を行います。そのため、引用符が多いユーザー提供のMarkdownを解析する際に過剰なCPU消費が発生し、攻撃者がサービスの可用性を低下させたり妨害したりする可能性があります。typographerはデフォルトで無効ですが、多くの本番アプリケーションではスマートタイポグラフィのために有効にしているため、この問題は重要です。この問題はバージョン14.2.0で修正されました。

ベンダ情報を参照して適切な対策を実施してください。