PT-2026-49571
CVE-2026-53539
·
تاريخ النشر
2026-06-15
·
تاريخ التحديث
2026-10-23
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات python-multipart الأقدم من 0.0.30
الوصف
توجد مشكلة تعقيد من الدرجة الثانية عند تحليل نصوص
application/x-www-form-urlencoded. يقوم QuerystringParser بإجراء بحث من خطوتين عن فواصل الحقول، حيث يقوم بمسح المخزن المؤقت المتبقي بالكامل بحثًا عن & قبل اللجوء إلى ;. إذا كان النص الأساسي يستخدم ; كفاصل ولا يحتوي على &، فإن كل تكرار للحقل يؤدي إلى فشل المسح الكامل للمخزن المؤقت المتبقي، مما ينتج عنه مقارنات بايت O(B^2) لكل جزء. يمكن للمهاجم إرسال نص أساسي مُصمم خصيصًا يتكون من فواصل متكررة للتسبب في استهلاك مفرط لوحدة المعالجة المركزية (CPU)، مما قد يستنفد عمليات العمل ويؤدي إلى رفض الخدمة. يمكن الوصول إلى هذا المحلل عبر فئة QuerystringParser وواجهات برمجة التطبيقات (API) FormParser وcreate form parser وparse form، ويستخدمه كل من Starlette وFastAPI في استدعاءات request.form().التوصيات
قم بالترقية إلى الإصدار 0.0.30 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾