CVE-2026-26209

Wysokie

Opublikowano: 23/03/2026(UTC)Przetłumaczono: 30/05/2026(UTC)NVD NIST

Streszczenie

Biblioteka cbor2, odpowiedzialna za kodowanie i dekodowanie formatu CBOR, jest podatna na atak typu Denial of Service (DoS) w wersjach przed 5.9.0. Problem wynika z niekontrolowanej rekurencji podczas dekodowania głęboko zagnieżdżonych struktur CBOR, co prowadzi do awarii procesu roboczego.

Ocena ryzyka

Atakujący może dostarczyć specjalnie przygotowany ładunek CBOR z około 100,000 zagnieżdżonych tablic, co może spowodować awarię aplikacji i przerwanie jej działania. To stwarza ryzyko dla dostępności usług korzystających z tej biblioteki.

Rekomendacja

Zaleca się aktualizację biblioteki cbor2 do wersji 5.9.0 lub nowszej, aby zlikwidować tę podatność. Dodatkowo warto wprowadzić mechanizmy ograniczające głębokość zagnieżdżenia danych w aplikacjach korzystających z tej biblioteki.

Powiązane podatności

Oryginalny opis (angielski, źródło NVD)

cbor2 provides encoding and decoding for the Concise Binary Object Representation (CBOR) serialization format. Versions prior to 5.9.0 are vulnerable to a Denial of Service (DoS) attack caused by uncontrolled recursion when decoding deeply nested CBOR structures. This vulnerability affects both the pure Python implementation and the C extension `_cbor2`. The C extension relies on Python's internal recursion limits `Py_EnterRecursiveCall` rather than a data-driven depth limit, meaning it still raises `RecursionError` and crashes the worker process when the limit is hit. While the library handles moderate nesting levels, it lacks a hard depth limit. An attacker can supply a crafted CBOR payload containing approximately 100,000 nested arrays `0x81`. When `cbor2.loads()` attempts to parse this, it hits the Python interpreter's maximum recursion depth or exhausts the stack, causing the process to crash with a `RecursionError`. Because the library does not enforce its own limits, it allows a

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS