CVE-2026-84305

Nome do Software Vulnerável e Versões Afetadas sqlparse versões anteriores a 0.6.0

Description Existe um problema quando o SQL é formatado com a reindentação ativada, no qual o ReindentFilter reconstrói repetidamente prefixos da instrução atual para calcular deslocamentos de tokens. Um invasor que forneça uma lista de tuplas entre parênteses manipulada pode disparar milhares de cálculos de deslocamento que percorrem uma árvore de tokens em expansão. Isso resulta em um consumo quadrático de CPU, levando a atrasos nas requisições, redução do rendimento ou exaustão de workers. O problema é acionado através da função sqlparse.format(sql, reindent=True) e do comando sqlformat --reindent, especificamente dentro da função ReindentFilter. get offset() e do processo flatten up to token() em sqlparse/filters/reindent.py.

Recommendations Atualize o sqlparse para a versão 0.6.0. Como medida paliativa temporária, evite usar o parâmetro reindent=True na função sqlparse.format() ou a opção --reindent no comando sqlformat ao processar entradas controladas por usuários.