CVE-2026-6879
NiskieCVSS 2.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Metody `Element.findall()` i `Element.iterfind()` w parserze XML mają złożoność czasową O(n^2) przy użyciu predykatów indeksu XPath na dokumentach z wieloma rodzeństwami. `Element.find()` jest podatny tylko przy wyszukiwaniu ostatnich dopasowań.
Ocena ryzyka
Przetwarzanie dużych dokumentów XML może prowadzić do znacznego spowolnienia lub wyczerpania zasobów, co umożliwia atak DoS.
Rekomendacja
Unikaj używania predykatów indeksu XPath na dokumentach z wieloma rodzeństwami lub ogranicz rozmiar przetwarzanych dokumentów XML.
Oryginalny opis (angielski, źródło NVD)
`Element.findall()` and fully-consumed `Element.iterfind()` exhibit `O(n^2)` time complexity when using XPath index predicates (e.g. `[1]`, `[last()]`, `[last()-N]`) on XML documents with many same-tag siblings. `Element.find()` is only affected when the first match is near the end of the sibling list, such as with `[last()]` or `[last()-N]`; `.//item[1]` short-circuits after the first match.