Kaj se je zgodilo
V GitHub Security Advisories je bila objavljena ranljivost GHSA-cv23-7vc5-jfh7, znana tudi kot CVE-2026-102941, ki prizadene knjižnico gomarkdown/markdown za programski jezik Go. Težava se nahaja v funkciji IsSafeURL v datoteki parser/parser.go, kjer se izvede rezanje niza url[:nPath] pred preverjanjem, ali je dolžina niza url sploh dovolj velika za tako rezanje. Posledica je, da URL naslov, krajši od primerjanega predpone (torej 0, 1 ali 2 bajta), sproži paniko zaradi prekoračitve meja niza (slice-bounds panic).
Po navedbah vira je napaka dosegljiva od začetka do konca takrat, ko je omogočena zaščitna zastavica html.Safelink, vhodni podatek pa vsebuje prazen ali zelo kratek cilj povezave. To povzroči nepopravljivo zrušitev aplikacije, torej napad tipa odpoved storitve (DoS). Vir navaja konkretne primere: klic IsSafeURL(“”) povzroči paniko, prav tako IsSafeURL(“.”) in IsSafeURL(“..”). Napaka je bila potrjena v različici HEAD (e08cff8), prisotna pa naj bi bila v kodi že od leta 2022.
V NVD je ranljivosti CVE-2026-102941 dodeljena ocena CVSS 3.1 7,5 (visoka stopnja resnosti). V istem kontekstu so v NVD evidentirane tudi povezane ranljivosti CVE-2026-40890 s CVSS oceno 7,5 (visoka), za katero obstaja tako referenca s popravkom kot tudi referenca z oznako Exploit, kar pomeni javno dostopno PoC kodo, ne pa potrditve dejanskega izkoriščanja v praksi. Dodatno je v NVD zabeležena ranljivost CVE-2024-44337 s CVSS oceno 5,1 (srednja stopnja resnosti).
Kaj to pomeni za slovenska in evropska podjetja
Knjižnice za obdelavo jezika Markdown se pogosto uporabljajo v spletnih aplikacijah, dokumentacijskih sistemih, klepetalnih botih in orodjih za sodelovanje. Gomarkdown je ena izmed bolj razširjenih implementacij za jezik Go, zato lahko ranljivost prizadene širok nabor storitev, ki ta jezik uporabljajo za izris vsebine, ustvarjene s strani uporabnikov. Podjetja, ki razvijajo ali uporabljajo aplikacije z omogočeno zaščito html.Safelink in obdelujejo vnose uporabnikov, vključno s kratkimi ali praznimi povezavami, so lahko izpostavljena zrušitvi storitve. Tovrstna odpoved storitve lahko povzroči motnje v delovanju spletnih mest, API vmesnikov ali notranjih orodij, ki se zanašajo na prikaz vsebine v obliki Markdown.
Priporočeni ukrepi
Organizacije, ki v svojih produktih uporabljajo knjižnico gomarkdown/markdown, naj preverijo, ali uporabljajo različico kode, ki vsebuje popravljeno funkcijo IsSafeURL. Glede na to, da je bila napaka v kodi prisotna od leta 2022, velja preveriti vse odvisnosti v programski opremi, ki posredno vključujejo to knjižnico. Priporočljivo je tudi preveriti, ali je v posamezni implementaciji omogočena zastavica html.Safelink, saj je ta pogoj nujen za sprožitev opisane panike. Ker za povezano ranljivost CVE-2026-40890 obstaja tako popravek kot javno dostopna PoC koda, naj sistemi, ki temeljijo na tej odvisnosti, posodobitev obravnavajo prednostno.
Vprašanja in odgovori
Ali je ranljivost CVE-2026-102941 aktivno izkoriščana? Viri tega ne potrjujejo. Gre za dokazano tehnično napako, ki pod določenimi pogoji povzroči zrušitev aplikacije, podatkov o aktivnem izkoriščanju v naravi pa ni.
Kaj pomeni javna PoC referenca pri CVE-2026-40890? Pomeni, da v NVD obstaja referenca z oznako Exploit, torej je dostopna koda, ki demonstrira ranljivost. To ni enako potrjenemu izkoriščanju v resničnih napadih.
Zakaj je pomembno preveriti leto 2022? Vir navaja, da je napaka v kodi prisotna od leta 2022, kar pomeni, da so lahko izpostavljene tudi starejše različice knjižnice, ki jih organizacije morda še vedno uporabljajo.
Pogosta vprašanja
Ali je ranljivost CVE-2026-102941 aktivno izkoriščana?
Viri tega ne potrjujejo. Gre za dokazano tehnično napako, ki pod določenimi pogoji povzroči zrušitev aplikacije, podatkov o aktivnem izkoriščanju v naravi pa ni.
Kaj pomeni javna PoC referenca pri CVE-2026-40890?
Pomeni, da v NVD obstaja referenca z oznako Exploit, torej je dostopna koda, ki demonstrira ranljivost. To ni enako potrjenemu izkoriščanju v resničnih napadih.
Zakaj je pomembno preveriti leto 2022?
Vir navaja, da je napaka v kodi prisotna od leta 2022, kar pomeni, da so lahko izpostavljene tudi starejše različice knjižnice, ki jih organizacije morda še vedno uporabljajo.
Sorodne objave
- Zlonamerna programska oprema PEERSTITCH izkorišča ranljivost v FortiOS za zaobidenje preverjanja VPN-sej
- Hekerji napadli francoske hladilnike v trgovinah E. Leclerc, Intermarche in Cooperative U
- LG webOS: štiri ranljivosti omogočajo prevzem pametnih televizorjev brez prijave