CVE-2026-3276
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 40 - wyżej niż 40% wszystkich znanych CVE
Streszczenie
Funkcja unicodedata.normalize() może zużywać nadmierną moc CPU podczas przetwarzania specjalnie spreparowanych danych Unicode zawierających długie ciągi znaków kombinujących o zmiennych wartościach klasy porządkowania kanonicznego. Problem dotyczy wszystkich form normalizacji.
Ocena ryzyka
Atakujący może spowodować znaczne spowolnienie lub odmowę usługi (DoS) poprzez wysłanie specjalnie spreparowanego wejścia Unicode, co może wpłynąć na dostępność aplikacji.
Rekomendacja
Zaleca się aktualizację do wersji Pythona zawierającej poprawkę dla tej podatności oraz ograniczenie przetwarzania niezaufanych danych Unicode.
Inne podatności w Python
Zobacz wszystkie- CVE-2013-7338Wysokie
Python w wersjach przed 3.3.4 RC1 umożliwia zdalnym atakującym wywołanie odmowy usługi poprzez wprowadzenie wartości rozmiaru pliku większej niż rozmiar pliku zip w funkcjach związanych z odczytem i ekstrakcją plików zip.
- CVE-2023-27043Średnie
Moduł email w Pythonie do wersji 3.11.3 błędnie parsuje adresy e-mail zawierające znaki specjalne. Nieprawidłowa część nagłówka RFC2822 jest identyfikowana jako wartość addr-spec.
- CVE-2023-24329Wysokie
Podatność w komponencie urllib.parse języka Python przed wersją 3.11.4 umożliwia atakującym ominięcie metod blokowania poprzez dostarczenie adresu URL rozpoczynającego się od znaków pustych.
- CVE-2026-1299Średnie
Moduł email w Pythonie, a konkretnie klasa BytesGenerator, nieprawidłowo cytuje znaki nowej linii w nagłówkach wiadomości podczas serializacji, co umożliwia wstrzyknięcie nagłówka. Problem dotyczy tylko użycia LiteralHeader, które nie respektuje składania nagłówków.
- CVE-2022-0391Wysokie
W Pythonie, w module urllib.parse, wykryto podatność polegającą na braku sanityzacji danych wejściowych przez metodę urlparse. Pozwala ona na wprowadzenie znaków ' ' i ' ' do ścieżki URL, co może prowadzić do ataków typu CRLF injection.
- CVE-2022-42919Wysokie
Podatność w Pythonie 3.9.x przed 3.9.16 i 3.10.x przed 3.10.9 na systemie Linux umożliwia lokalną eskalację uprawnień w niestandardowej konfiguracji. Biblioteka multiprocessing z metodą startową forkserver pozwala na deserializację pickle'ów od dowolnego użytkownika w tej samej sieci lokalnej maszyny.
- CVE-2026-15310Niskie
Podczas dekompresji spreparowanych plików zip przy użyciu kompresji bzip/LZMA/Zstandard, Python może użyć kontrolowanego przez atakującego rozmiaru do wstępnego przydzielenia pamięci, co może prowadzić do wyczerpania pamięci.
- CVE-2026-17084Średnie
Moduł 'stringprep' w Pythonie nie przetwarzał poprawnie znaków z tabel B.2 i B.3 standardu RFC 3454, używając najnowszych atrybutów Unicode zamiast określonej wersji Unicode 3.2.0. Powoduje to niezgodności podczas przetwarzania nazw domen z użyciem IDNA 2003 (kodowanie 'idna') oraz funkcji in_table_b2() modułu 'stringprep'. Problem dotyczy nazw domen zawierających znaki, które nie były wcześniej zarejestrowane lub których atrybuty Unicode, takie jak składanie wielkich liter, zostały zaktualizowane po Unicode 3.2.0.
- CVE-2026-18503Niskie
Podatność w Pythonie (csv.Sniffer) polegająca na nadmiernym zużyciu CPU podczas przetwarzania próbek CSV kontrolowanych przez atakującego. Wykrywanie dialektu może powodować super-liniową pracę wyrażeń regularnych.
- CVE-2026-15308Wysokie
Parser HTML (html.parser.HTMLParser) w trybie przyrostowym pozwala na atak DoS na procesor poprzez wielokrotne niezakończone deklaracje znaczników podczas przetwarzania niesterowanych danych.
Oryginalny opis (angielski, źródło NVD)
unicodedata.normalize() can take excessive CPU time when processing specially crafted Unicode input containing long runs of combining characters with alternating Canonical Combining Class values. This affects all normalization forms.