CVE-2026-71491
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
sqlparse to moduł parsera SQL dla Pythona, który nie waliduje składni. Przed wersją 0.6.0 funkcja group_comments w sqlparse/engine/grouping.py wielokrotnie skanuje komentarze przed zabezpieczeniem MAX_GROUPING_TOKENS, co powoduje kwadratowe zużycie CPU podczas wywołań sqlparse.parse() i sqlparse.format(sql, strip_comments=True). Problem został naprawiony w wersji 0.6.0.
Ocena ryzyka
Ryzyko obejmuje nadmierne zużycie zasobów CPU, co może prowadzić do spowolnienia lub odmowy usługi w aplikacjach używających sqlparse do przetwarzania dużych ilości danych SQL.
Rekomendacja
Zaleca się aktualizację sqlparse do wersji 0.6.0 lub nowszej, aby uniknąć problemów z wydajnością.
Inne podatności w sqlparse
Zobacz wszystkie- CVE-2026-84305Średnie
Podatność w sqlparse (parser SQL dla Pythona) przed wersją 0.6.0 powoduje nadmierne zużycie CPU podczas formatowania zapytań z nawiasowymi listami krotek, co może prowadzić do opóźnień w przetwarzaniu żądań i zmniejszenia przepustowości.
- CVE-2026-59894Średnie
sqlparse przed wersją 0.6.0 ma podatność w sqlparse/filters/output.py, która nie escapuje istniejących backslashów przed cudzysłowami w formatach wyjściowych 'python' i 'php' oraz odpowiadających im trybach sqlformat -l, co pozwala spreparowanemu SQL na zakończenie wygenerowanego stringa i wstrzyknięcie kodu Python lub PHP, gdy konsument wykona lub zaimportuje wygenerowany kod.
- CVE-2026-59893Wysokie
sqlparse przed wersją 0.6.0 ma problem z wydajnością: SQL_REGEX w sqlparse/keywords.py oraz pętla per-position w sqlparse/lexer.py wielokrotnie skanują niedopasowane literały dollar-quoted i ograniczniki komentarzy wieloliniowych, powodując kwadratowe zużycie CPU podczas sqlparse.parse(), sqlparse.format() i sqlparse.split(). Problem naprawiono w wersji 0.6.0.
- CVE-2026-54284Wysokie
sqlparse przed wersją 0.6.0 ma problem z wydajnością: konstrukcja TokenList i konwersja na string w sqlparse/sql.py wielokrotnie spłaszcza zagnieżdżone poddrzewa tokenów tworzone przez group_parenthesis i group_case, powodując kwadratowe zużycie CPU podczas sqlparse.parse(), sqlparse.format() i sqlparse.split() zanim limity głębokości i tokenów przerwą przetwarzanie. Problem naprawiono w wersji 0.6.0.
Oryginalny opis (angielski, źródło NVD)
sqlparse is a non-validating SQL parser module for Python. Prior to 0.6.0, group_comments in sqlparse/engine/grouping.py repeatedly rescans comment-only statements before the MAX_GROUPING_TOKENS guard, causing quadratic CPU consumption through sqlparse.parse() and sqlparse.format(sql, strip_comments=True). This issue is fixed in version 0.6.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS