JVNDB-2026-032888

The League of Extraordinary PackagesのCommonMarkにおけるアルゴリズムの複雑さに関する脆弱性

league/commonmark（thephpleague/commonmark）ライブラリのバージョン1.5.0以上かつ2.9.1未満には、SmartPunctExtensionおよびAttributesExtensionに二次的なパースの複雑性があります。これらの拡張機能はデフォルトで有効化されておらず、標準のCommonMarkおよびGitHub-Flavored Markdownコンバータには含まれていませんが、いずれかの拡張機能がEnvironmentに明示的に登録されている場合、認証されていない攻撃者が特殊に細工された小さなMarkdownドキュメント（例えば、ペアになっていない引用符が交互に現れるテキスト、連続したブロックレベル属性ブロック、繰り返されるクラス属性など）を送信することで、CPUの異常な消費を引き起こし、サービス拒否（DoS）を招く恐れがあります。本問題はバージョン2.9.1で修正されました。

The League of Extraordinary Packages

• CommonMark 1.5.0 以上 2.9.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Denial of service in the SmartPunct and Attributes extensions  Advisory  thephpleague/commonmark  GitHub

VulnCheck

• VulnCheck : commonmark before 2.9.1 Denial of Service via SmartPunct and Attributes  | Advisories | VulnCheck

1. アルゴリズムの複雑性(CWE-407) [その他]

1. CVE-2026-86429

1. National Vulnerability Database (NVD) : CVE-2026-86429

• [2026年09月11日]
    掲載