CVE-2026-55206
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Biblioteka py7zr przed wersją 1.1.3 zawiera podatność na atak DoS polegającą na nadmiernym zużyciu procesora podczas inicjalizacji obiektu SevenZipFile. Funkcja PackInfo._read() w archiveinfo.py wykonuje operację sumowania skumulowanego o złożoności O(n^2) dla wartości numstreams kontrolowanych przez atakującego, co pozwala na stworzenie spreparowanego archiwum .7z powodującego przeciążenie CPU.
Ocena ryzyka
Atakujący może dostarczyć specjalnie spreparowane archiwum .7z, które podczas próby otwarcia lub ekstrakcji spowoduje znaczne obciążenie procesora, prowadząc do odmowy usługi (DoS) dla aplikacji korzystającej z py7zr.
Rekomendacja
Należy niezwłocznie zaktualizować bibliotekę py7zr do wersji 1.1.3 lub nowszej, która zawiera poprawkę eliminującą podatność.
Inne podatności w py7zr
Zobacz wszystkie- CVE-2026-55195Wysokie
Biblioteka py7zr przed wersją 1.1.3 nie kontroluje całkowitego rozmiaru dekompresowanych danych, co pozwala na atak typu „bomba dekompresyjna”. Specjalnie spreparowany plik .7z (np. 15,6 KB) może po dekompresji zająć 100 MB, prowadząc do wyczerpania miejsca na dysku lub pamięci.
- CVE-2026-23879Wysokie
Biblioteka py7zr, używana do kompresji i dekompresji archiwów 7zip, zawiera podatność na zapis dowolnych plików w wersjach 1.1.2 i niższych. Umożliwia to atakującym tworzenie złośliwych archiwów, które mogą przywracać dowiązania symboliczne do dowolnych katalogów w systemie plików.
Oryginalny opis (angielski, źródło NVD)
py7zr is a Python-based library and utility to support 7zip archive compression, decompression, encryption and decryption. Prior to 1.1.3, PackInfo._read() in archiveinfo.py used an O(n^2) cumulative sum pattern for attacker-controlled numstreams values parsed from archive headers, allowing a crafted .7z archive to cause excessive CPU consumption during SevenZipFile.init() before extraction. This issue is fixed in version 1.1.3.