| タイトル | Marked projectのMarkedにおける複数の脆弱性 |
|---|---|
| 概要 | Markedはマークダウンのパーサーおよびコンパイラです。バージョン18.0.0から18.0.1にかけて、重大なサービス拒否（DoS）脆弱性がMarkedに存在していました。特定の3バイトの入力シーケンス（タブ、垂直タブ、および改行（\t\v\n））を提供することで、認証されていない攻撃者がパース中に無限再帰ループを引き起こす可能性があります。このため、メモリ割り当てが無制限に行われ、ホストのNode.jsアプリケーションがメモリ不足（OOM）によりクラッシュしてしまいます。この脆弱性はバージョン18.0.2で修正されています。 |
| 想定される影響 | 当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。 また、当該ソフトウェアが扱う情報について、書き換えは発生しません。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 |
| 対策 | 正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| 公表日 | 2026年4月24日0:00 |
| 登録日 | 2026年4月30日10:59 |
| 最終更新日 | 2026年4月30日10:59 |
| CVSS3.0 : 重要 | |
| スコア | 7.5 |
|---|---|
| ベクター | CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H |
| Marked project |
| Marked 18.0.0 以上 18.0.2 未満 |
| No | 変更内容 | 変更日 |
|---|---|---|
| 1 | [2026年04月30日] 掲載 |
2026年4月30日10:59 |
| 概要 | Marked is a markdown parser and compiler. From 18.0.0 to 18.0.1, a critical Denial of Service (DoS) vulnerability exists in marked. By providing a specific 3-byte input sequence a tab, a vertical tab, and a newline (\x09\x0b\n)—an unauthenticated attacker can trigger an infinite recursion loop during parsing. This leads to unbounded memory allocation, causing the host Node.js application to crash via Memory Exhaustion (OOM). This vulnerability is fixed in 18.0.2. |
|---|---|
| 公表日 | 2026年4月25日3:16 |
| 登録日 | 2026年4月25日4:08 |
| 最終更新日 | 2026年4月29日4:37 |
| 構成1 | 以上 | 以下 | より上 | 未満 | |
| cpe:2.3:a:marked_project:marked:*:*:*:*:*:node.js:*:* | 18.0.0 | 18.0.2 | |||