🇰🇷 한글 설명
league/commonmark 2.6.0 미만 버전에서 마크다운 파싱 시 다항 시간 복잡도 취약점이 발견되었습니다. 공격자가 정교하게 조작된 마크다운 입력을 전송하면 CPU 자원과 PHP-FPM 프로세스를 고갈시켜 서비스 거부(DoS) 상태를 유발할 수 있습니다.
💡 쉬운 설명
특수한 마크다운 문서를 웹사이트에 입력하면 서버가 이를 처리하느라 과부하가 걸려 멈추게 됩니다. 이로 인해 일반 사용자들이 해당 웹사이트를 이용할 수 없게 됩니다.
🇺🇸 원문 (English)
league/commonmark versions before 2.6.0 contain polynomial time complexity vulnerabilities in Markdown parsing that allow attackers to cause denial of service. Attackers can submit carefully crafted Markdown inputs designed to trigger worst-case performance, and sending multiple requests in parallel exhausts CPU resources and PHP-FPM processes.
📍 영향받는 시스템
league/commonmark versions < 2.6.0
⚔️ 공격 벡터
정교하게 설계된 악성 마크다운 텍스트를 서버에 입력하여 CPU 자원 고갈 유도
🛡️ 대응 방법
league/commonmark 라이브러리를 2.6.0 버전 이상으로 업데이트
🔧 검증 코드
출력된 버전 정보가 2.6.0 미만인지 확인
composer show league/commonmark | grep 'versions'