CVE-2026-22870

Wysokie

Opublikowano: 13/01/2026(UTC)Przetłumaczono: 05/08/2026(UTC)NVD NIST

Streszczenie

GuardDog to narzędzie CLI do wykrywania złośliwych pakietów PyPI. Przed wersją 2.7.1 funkcja safe_extract() nie sprawdzała rozmiaru dekompresowanych plików podczas rozpakowywania archiwów ZIP (wheel, egg), co pozwalało atakującym na przeprowadzenie ataku DoS za pomocą bomb zip. Złośliwy pakiet może zająć gigabajty miejsca na dysku z zaledwie kilku megabajtów skompresowanych danych.

Ocena ryzyka

Ryzyko polega na możliwości wyczerpania zasobów dyskowych systemu, na którym uruchamiane jest narzędzie GuardDog, co może prowadzić do przerwania działania usług lub awarii systemu.

Rekomendacja

Zaleca się natychmiastową aktualizację GuardDog do wersji 2.7.1 lub nowszej, która zawiera poprawkę eliminującą tę podatność.

Inne podatności w GuardDog

CVE-2026-22871Krytyczne
GuardDog, narzędzie CLI do identyfikacji złośliwych pakietów PyPI, przed wersją 2.7.1 zawiera podatność na path traversal w funkcji safe_extract(). Złośliwe pakiety PyPI mogą zapisywać dowolne pliki poza katalogiem ekstrakcji, co prowadzi do nadpisania plików i zdalnego wykonania kodu na systemach z GuardDog. Podatność została naprawiona w wersji 2.7.1.

Oryginalny opis (angielski, źródło NVD)

GuardDog is a CLI tool to identify malicious PyPI packages. Prior to 2.7.1, GuardDog's safe_extract() function does not validate decompressed file sizes when extracting ZIP archives (wheels, eggs), allowing attackers to cause denial of service through zip bombs. A malicious package can consume gigabytes of disk space from a few megabytes of compressed data. This vulnerability is fixed in 2.7.1.