PT-2026-60502 · Pypi · Buffa
CVE-2026-55406
·
Publicado
2026-07-16
·
Atualizado
2026-08-28
CVSS v4.0
5.9
Média
| Vetor | AV:L/AC:H/AT:P/PR:N/UI:N/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X |
Nome do Software Vulnerável e Versões Afetadas
Buffa versões anteriores a 0.7.0
Descrição
Um erro de solidez no tipo
OwnedView<V> permite que código Rust seguro desencadeie um use-after-free. O construtor OwnedView::decode() transmuta um slice emprestado para &'static [u8], e a implementação Deref expõe esse tempo de vida 'static promovido em campos de visualização emprestados, como &'static str e &'static [u8], para os chamadores. Consequentemente, o borrow checker permite que essas referências sobrevivam ao OwnedView. Quando o OwnedView é descartado e seu buffer de suporte é liberado, as referências tornam-se pendentes, o que pode levar à corrupção de memória, divulgação de informações de conteúdos do heap liberados e mau uso entre threads.Recomendações
Atualize para a versão 0.7.0.
Exploit
Correção
Use After Free
Information Disclosure
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Buffa