github.com/gomarkdown/markdown: Out-of-bounds Read (CVE-2026-102941)

Was ist betroffen, was ist zu tun

Das Paket github.com/gomarkdown/markdown ist eine Go-Bibliothek zum Parsen von Markdown-Text und dessen Umwandlung in HTML. Vor 0.0.0-20260724235538-61af6e1e6971 schneidet parser.IsSafeURL in parser/parser.go url[:nPath] vor dem Schutzmechanismus len(url) >= nPath ab.

Die vorliegenden Quellen nennen keine Fix-Version. Prüfen Sie die Herstellerhinweise in den Referenzen unten.

Metriken

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Hohe technische Schwere: Bewerten und beheben Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 und dokumentieren Sie die Entscheidung.

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Ab dem 11.12.2027 verpflichtet Anhang I Teil II CRA Hersteller betroffener Produkte mit digitalen Elementen, Schwachstellen unverzüglich zu behandeln und Sicherheitsupdates bereitzustellen.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

Das Paket github.com/gomarkdown/markdown ist eine Go-Bibliothek zum Parsen von Markdown-Text und dessen Umwandlung in HTML. Vor 0.0.0-20260724235538-61af6e1e6971 schneidet parser.IsSafeURL in parser/parser.go url[:nPath] vor dem Schutzmechanismus len(url) >= nPath ab. Eine kurze Zieladresse führt zu einem Slice-Bounds-Panic, wenn der Schleifenlauf einen relativen Pfadpräfix erreicht, für den gilt: len(url) < nPath und cap(url) < nPath. Das einzeilige Ziel / ist ein explizites Gegenbeispiel ohne Panic, da es das erste gültige Pfadsegment abgleicht und vor dem Schneiden eines längeren Präfixes zurückkehrt. Beispiele für Panic-Fälle sind leere, . und .. Zieladressen unter diesen Bedingungen. Der Panic-Zustand ist erreichbar, wenn markdown.ToHTML unvertrauenswürdigen Markdown mit html.Safelink aktiviert umwandelt, einschließlich einer leeren Linkzieladresse, und ist auch erreichbar, wenn Aufrufer eine kurze, vom Angreifer kontrollierte URL direkt an die exportierte Funktion parser.IsSafeURL übergeben. Ein nicht abgefangener Panic kann den aufrufenden Prozess beenden und zu einem Denial-of-Service führen. Dieses Problem wird in 0.0.0-20260724235538-61af6e1e6971 behoben.

Originalquelle nur englisch verfügbar, maschinell ins Deutsche übersetzt.

Quelle: NVD (NIST), CVE.org (MITRE), GitHub Security Advisories, OSV (Open Source Vulnerabilities)

Weakness-Klassen (CWE)

• CWE-125Out-of-bounds Read

  Base

  The product reads data past the end, or before the beginning, of the intended buffer.

  Eintrag bei MITRE CWE-125

Quellen & Referenzen

• github.comgomarkdown/markdown/security/advisories/GHSA-cv23-7vc5-jfh7x_refsource_CONFIRM
• github.comgomarkdown/markdown/commit/61af6e1e69710c5ca13cfbaaaa1bc11bc763…x_refsource_MISC
• github.comgomarkdown/markdownpackage

Re-Analyse & Statuswechsel

Chronologie der NVD-Audit-Events für diese CVE — Reanalyses, CVSS-Updates, CPE-Diffs.

1. New CVE Received16.10.2026security-advisories@github.com

   • Description: nachher The package github.com/gomarkdown/markdown is a Go library for parsing Markdown text and rendering as HTML. Prior to 0.0.0-20260724235538-61af6e1e6971, parser.IsSafeURL in parser/parser.go slices url[:nPath] before the len(url) >= nPath guard. A short destination causes a slice-bounds panic when the loop reaches a relative-path prefix for which len(url) < nPath and cap(url) < nPath. The one-byte destination / is an explicit non-panic counterexample because it matches the first valid path and returns before a longer prefix is sliced. Demonstrated panic cases include empty, ., and .. destinations under those conditions. The panic is reachable when markdown.ToHTML renders untrusted Markdown with html.Safelink enabled, including an empty link destination, and is also reachable by callers that pass a short attacker-controlled URL directly to the exported parser.IsSafeURL function. An uncaught panic can terminate the calling process and cause denial of service. This issue is fixed in 0.0.0-20260724235538-61af6e1e6971.
   • CVSS V3.1: nachher AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
   • CWE: nachher CWE-125
   • Affected: nachher New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/102xxx/CVE-2026-102941.json">CVE-2026-102941</a>