Pypi · Yazl · CVE-2026-18929
**Nome do Software Vulnerável e Versões Afetadas**
Carbone versões anteriores a 3.8.2
Carbone versões anteriores a 4.26.3
Carbone versões anteriores a 5.4.4
**Description**
Ocorre uma Negação de Serviço ao processar arquivos .docx devido à falta de proteção contra zip bombs. A biblioteca utiliza yazl para descompressão de zip, mas não valida os tamanhos das entradas. Isso permite que um invasor forneça um arquivo .docx malicioso que se descompacta em um tamanho extremamente grande, levando ao consumo excessivo de memória e ao travamento do servidor da aplicação. Um zip bomb é um arquivo de arquivo malicioso projetado para travar ou congelar o sistema que o lê ao expandir para um tamanho enorme após a descompressão.
**Recommendations**
Atualizar para a versão 3.8.2
Atualizar para a versão 4.26.3
Atualizar para a versão 5.4.4