JVNDB-2026-023361

Mistune projectのMistuneにおける複数の脆弱性

Mistuneはレンダラーとプラグインを備えたPythonのMarkdownパーサーです。バージョン3.3.0より前では、閉じたチルダ（~）、イコール（=）、またはキャレット（^）のマーカーペアが文字の周りに連続して存在する場合、strikethrough、mark、またはinsertプラグインが各可能な開始位置から対応するマーカーをスキャンする際に、src/mistune/plugins/formatting.pyで二乗時間の処理が発生しました。その結果、CPU資源を枯渇させてサービス拒否（DoS）攻撃を引き起こす可能性がありました。この問題はバージョン3.3.0で修正されています。

Mistune project

• Mistune 3.3.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : plugins/formatting: quadratic-time parsing on long runs of `~~x~~`, `==x==`, and `^^x^^` markers (strikethrough / mark / insert)  Advisory  lepture/mistune  GitHub

1. 非効率的な正規表現の複雑さ(CWE-1333) [その他]
2. アルゴリズムの複雑性(CWE-407) [その他]
3. アルゴリズムの複雑性(CWE-407) [NVD評価]

1. CVE-2026-59922

1. National Vulnerability Database (NVD) : CVE-2026-59922
2. 関連文書 : Release v3.3.0  lepture/mistune  GitHub
3. 関連文書 : fix(formatting): avoid quadratic marker scans  lepture/mistune@96d0f57  GitHub

• [2026年07月13日]
    掲載