🇰🇷 한글 설명
Mistune는 렌더러와 플러그인을 포함한 Python Markdown 파서입니다. 3.3.0부터 3.3.2 버전은 깊게 중첩된 토큰을 통해 서비스 거부(DoS) 공격을 받을 수 있는 취약점이 있습니다. HTML 렌더링 과정에서 연속된 별표 문자가 깊은 중첩 강조 토큰을 생성하며, 이로 인해 Python의 재귀 제한을 초과하여 RecursionError를 발생시키고 파싱 프로세스를 중단시킬 수 있습니다.
💡 쉬운 설명
특수하게 조작된 마크다운 문서를 입력하면 프로그램이 무한 루프에 빠지거나 멈춰버리는 현상입니다. 공격자가 이 방법을 사용하면 웹사이트의 마크다운 처리 기능을 마비시킬 수 있습니다.
🇺🇸 원문 (English)
Mistune is a Python Markdown parser with renderers and plugins. Versions 3.3.0 through 3.3.2 are vulnerable to DoS through deeply nested tokens. HTML rendering creates deeply nested emphasis tokens from consecutive asterisk characters, and recursive rendering in HTMLRenderer.render_token() can exceed Python's recursion limit and raise RecursionError, allowing crafted Markdown to crash a parsing process. This issue is fixed in version 3.3.3
📍 영향받는 시스템
Mistune Python 패키지 버전 3.3.0 ~ 3.3.2
⚔️ 공격 벡터
깊게 중첩된 별표(*) 문자가 포함된 악의적인 마크다운 텍스트를 입력하여 재귀 호출 한도를 초과시킴
🛡️ 대응 방법
Mistune 패키지를 취약점이 해결된 버전인 3.3.3 이상으로 업데이트
🔧 검증 코드
출력된 버전 번호가 3.3.3보다 낮으면 취약한 상태입니다.
pip show mistune | grep Version