Podatności py7zr
3 znanych podatności CVE w py7zr, przetłumaczonych i ocenionych.
- CVE-2026-55206Wysokie
Biblioteka py7zr przed wersją 1.1.3 zawiera podatność na atak DoS polegającą na nadmiernym zużyciu procesora podczas inicjalizacji obiektu SevenZipFile. Funkcja PackInfo._read() w archiveinfo.py wykonuje operację sumowania skumulowanego o złożoności O(n^2) dla wartości numstreams kontrolowanych przez atakującego, co pozwala na stworzenie spreparowanego archiwum .7z powodującego przeciążenie CPU.
- CVE-2026-55195Wysokie
Biblioteka py7zr przed wersją 1.1.3 nie kontroluje całkowitego rozmiaru dekompresowanych danych, co pozwala na atak typu „bomba dekompresyjna”. Specjalnie spreparowany plik .7z (np. 15,6 KB) może po dekompresji zająć 100 MB, prowadząc do wyczerpania miejsca na dysku lub pamięci.
- CVE-2026-23879Wysokie
Biblioteka py7zr, używana do kompresji i dekompresji archiwów 7zip, zawiera podatność na zapis dowolnych plików w wersjach 1.1.2 i niższych. Umożliwia to atakującym tworzenie złośliwych archiwów, które mogą przywracać dowiązania symboliczne do dowolnych katalogów w systemie plików.