CVE-2026-41608
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 62 - wyżej niż 62% wszystkich znanych CVE
Streszczenie
Nieprawidłowe obsługiwanie silnie skompresowanych danych (amplifikacja danych) w powiązaniach Python Apache Thrift. Problem dotyczy Apache Thrift przed wersją 0.24.0. Użytkownicy powinni zaktualizować do wersji 0.24.0, która naprawia problem.
Ocena ryzyka
Podatność może prowadzić do amplifikacji danych, co może skutkować nadmiernym zużyciem zasobów i potencjalnie odmową usługi.
Rekomendacja
Należy zaktualizować Apache Thrift do wersji 0.24.0 lub nowszej.
Inne podatności w Apache Thrift
Zobacz wszystkie- CVE-2026-58662Krytyczne
Nieprawidłowa walidacja ilości w danych wejściowych oraz odczyt poza zakresem w powiązaniach C++ Apache Thrift. Problem dotyczy wersji przed 0.24.0.
- CVE-2026-58023Krytyczne
Podatność w Apache Thrift c_glib bindings przed wersją 0.24.0 powoduje odczyt poza zakresem (out-of-bounds read), co może prowadzić do ujawnienia danych lub awarii.
- CVE-2026-55971Krytyczne
Apache Thrift w wersjach przed 0.24.0 zawiera podatność na przepełnienie bufora sterty w bindingu C++, co może prowadzić do awarii lub potencjalnie zdalnego wykonania kodu.
- CVE-2026-48144Krytyczne
Apache Thrift w wersjach przed 0.24.0 zawiera podatność na nieprawidłową walidację certyfikatu z niezgodnością nazwy hosta w bindingu c_glib, co może umożliwić ataki typu man-in-the-middle.
- CVE-2026-66053Średnie
Podatność w Apache Thrift Python bindings przed wersją 0.24.0 polega na nieprawidłowej walidacji certyfikatu przy niezgodności nazwy hosta, co umożliwia ataki typu man-in-the-middle.
- CVE-2026-58389Wysokie
Podatność na alokację zasobów bez ograniczeń w powiązaniach Rust Apache Thrift. Problem dotyczy wersji przed 0.24.0.
- CVE-2026-55970Średnie
Podatność w Apache Thrift C++ bindings przed wersją 0.24.0 powoduje odczyt poza zakresem bufora (buffer over-read), co może prowadzić do ujawnienia danych lub awarii.
- CVE-2026-55969Wysokie
Podatność na przepełnienie lub zawijanie liczb całkowitych w powiązaniach C++, c_glib, Go, netstd, Delphi i Haxe Apache Thrift. Problem dotyczy wersji przed 0.24.0.
- CVE-2026-55968Wysokie
Podatność na nieefektywną złożoność algorytmiczną i alokację zasobów bez ograniczeń w powiązaniach Node.js Apache Thrift. Problem dotyczy wersji przed 0.24.0.
- CVE-2026-49158Wysokie
Podatność na nieprawidłowe obsługiwanie silnie skompresowanych danych (amplifikacja danych) w powiązaniach Ruby Apache Thrift. Problem dotyczy wersji przed 0.24.0.
Oryginalny opis (angielski, źródło NVD)
Improper Handling of Highly Compressed Data (Data Amplification) vulnerability in Apache Thrift Python bindings. This issue affects Apache Thrift: before 0.24.0. Users are recommended to upgrade to version 0.24.0, which fixes the issue.