CVE-2026-55195

Nome do Software Vulnerável e Versões Afetadas py7zr versões anteriores a 0.22.1

Descrição A função Worker.decompress() em py7zr/worker.py extrai entradas de arquivos sem rastrear o tamanho total descompactado. Isso permite que um arquivo .7z especialmente criado cause a exaustão de disco ou memória antes que a extração seja concluída, um cenário frequentemente referido como bomba de descompressão. O problema ocorre porque os dados descompactados são gravados diretamente no disco sem um total acumulado ou um limite de tamanho configurável.

Recomendações Atualize para uma versão onde a função Worker.decompress() rastreie os bytes descompactados cumulativamente e implemente um limite de tamanho para evitar a exaustão de recursos.