CVE-2026-32874

WysokieCVSS 7.5

Opublikowano: 20/03/2026(UTC)Zaktualizowano: 15/07/2026(UTC)Przetłumaczono: 16/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.48%

Percentyl 38 - wyżej niż 38% wszystkich znanych CVE

Streszczenie

UltraJSON w wersjach 5.4.0 do 5.11.0 zawiera wyciek pamięci podczas parsowania dużych liczb całkowitych spoza zakresu [-2^63, 2^64-1]. Wyciek powoduje kopię łańcucha znaków liczby z dodatkowym bajtem NULL, co może prowadzić do wyczerpania pamięci i ataku DoS.

Ocena ryzyka

Organizacja narażona jest na ataki typu odmowa usługi (DoS) poprzez przesyłanie złośliwych danych JSON z dużymi liczbami całkowitymi, co może spowodować wyczerpanie pamięci serwera i przerwanie działania usług.

Rekomendacja

Należy natychmiast zaktualizować bibliotekę UltraJSON do wersji 5.12.0 lub nowszej. W przypadku braku możliwości aktualizacji, ogranicz rozmiar przetwarzanych danych JSON i stosuj filtrowanie wejścia.

Inne podatności w UltraJSON

CVE-2026-32875Wysokie
UltraJSON w wersjach 5.10 do 5.11.0 zawiera podatność na przepełnienie bufora lub nieskończoną pętlę podczas obsługi dużych wartości parametru wcięcia (indent). Funkcja ujson.dumps() powoduje awarię interpretera Pythona (błąd segmentacji), gdy iloczyn parametru indent i głębokości zagnieżdżenia danych wejściowych przekracza INT32_MAX, lub może utknąć w nieskończonej pętli, gdy indent jest dużą liczbą ujemną. Obie sytuacje wynikają z przepełnienia/liczby całkowitej podczas obliczania pamięci na wcięcia i mogą prowadzić do odmowy usługi (DoS).

Oryginalny opis (angielski, źródło NVD)

UltraJSON is a fast JSON encoder and decoder written in pure C with bindings for Python 3.7+. Versions 5.4.0 through 5.11.0 contain an accumulating memory leak in JSON parsing large (outside of the range [-2^63, 2^64 - 1]) integers. The leaked memory is a copy of the string form of the integer plus an additional NULL byte. The leak occurs irrespective of whether the integer parses successfully or is rejected due to having more than sys.get_int_max_str_digits() digits, meaning that any sized leak per malicious JSON can be achieved provided that there is no limit on the overall size of the payload. Any service that calls ujson.load()/ujson.loads()/ujson.decode() on untrusted inputs is affected and vulnerable to denial of service attacks. This issue has been fixed in version 5.12.0.