CVE-2026-39892
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 48 - wyżej niż 48% wszystkich znanych CVE
Streszczenie
Biblioteka cryptography dla Pythona w wersjach od 45.0.0 do 46.0.6 zawiera podatność na przepełnienie bufora. Problem występuje, gdy do funkcji akceptujących bufory Pythona (np. Hash.update()) przekazany zostanie nieciągły bufor. Luka została naprawiona w wersji 46.0.7.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do przepełnienia bufora, co może prowadzić do nieoczekiwanego zachowania aplikacji, wycieku danych lub zdalnego wykonania kodu.
Rekomendacja
Należy niezwłocznie zaktualizować bibliotekę cryptography do wersji 46.0.7 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
cryptography is a package designed to expose cryptographic primitives and recipes to Python developers. From 45.0.0 to before 46.0.7, if a non-contiguous buffer was passed to APIs which accepted Python buffers (e.g. Hash.update()), this could lead to buffer overflows. This vulnerability is fixed in 46.0.7.