CVE-2026-77399

ŚrednieCVSS 6.5

Opublikowano: 22/09/2026(UTC)Zaktualizowano: 23/09/2026(UTC)Przetłumaczono: 23/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.31%

Percentyl 21 - wyżej niż 21% wszystkich znanych CVE

Streszczenie

icalendar to zgodny z RFC 5545 parser i generator plików iCalendar dla Pythona. Od wersji 6.1.0 do 7.2.2 funkcja vInt.from_ical przyjmuje kontrolowaną przez atakującego wartość VALARM REPEAT, a aplikacje żądające czasów alarmów mogą ją rozwinąć bez limitu na poziomie aplikacji. Alarms.times i Alarms.active osiągają nieograniczone rozwinięcie w wersjach od 6.1.0, a Alarm.triggers dodaje drugą ścieżkę od wersji 7.0.0. Samo parsowanie nie wywołuje problemu, ale dostęp do tych właściwości może zużyć nadmierny czas CPU i pamięć sterty oraz zakończyć lub zatrzymać usługę. Problem naprawiono w wersji 7.2.2.

Ocena ryzyka

Atakujący może dostarczyć złośliwy plik iCalendar, który po odczytaniu właściwości alarmów wyczerpie zasoby CPU i pamięci, powodując zatrzymanie lub awarię usługi. Ryzyko dotyczy aplikacji przetwarzających niezaufane pliki iCalendar.

Rekomendacja

Zaktualizuj bibliotekę icalendar do wersji 7.2.2 lub nowszej oraz rozważ wprowadzenie limitów na rozwinięcie alarmów w aplikacji.

Inne podatności w icalendar

CVE-2026-55099Wysokie
icalendar w wersjach od 7.1.0 do 7.1.3 zawiera podatność w metodzie porównywania Component, która wykonuje złożoność O(2^n) względem głębokości zagnieżdżenia. Atakujący może przesłać mały plik .ics z głęboko zagnieżdżonymi blokami BEGIN:VEVENT, co może zablokować rdzeń procesora na długi czas, powodując odmowę usługi.

Oryginalny opis (angielski, źródło NVD)

icalendar is an RFC 5545 compatible parser and generator of iCalendar files for Python. From 6.1.0 until 7.2.2, vInt.from_ical accepts an attacker-controlled VALARM REPEAT value and applications that request alarm times can eagerly expand it without an application-level limit. Alarms.times and Alarms.active reach the unbounded expansion in versions starting with 6.1.0, while Alarm.triggers adds a second affected path starting with 7.0.0. Parsing alone does not trigger the issue, but accessing these properties can consume excessive CPU time and heap memory and terminate or stall a service. This issue is fixed in version 7.2.2.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS