CVE-2026-121577

Nieefektywna złożoność wyrażeń regularnych (CWE-1333) w generate_regex() (whatstk/whatsapp/parser.py) w whatstk od wersji 0.2.0 przed wersją 0.9.0 umożliwia stronie dostarczającej eksport czatu zużywanie procesora procesu, który analizuje go przez nieograniczony czas, ponieważ funkcja buduje wyrażenie regularne nagłówka, zastępując każdy kod %x jego nazwaną grupą przechwytywania i pozostawiając we wzorcu każdy inny znak formatu nagłówka bez ucieczki. Nagłówek, którego separatorem daty jest metaznak wyrażenia regularnego, zmienia zatem wzorzec zamiast dopasowywać sam siebie: separator + określa ilościowo poprzednią grupę przechwytywania, dając (?P<dzień>\d{1,2})+(?P<miesiąc>\d{1,2})+(?P<rok>\d{2,4}), a ciąg cyfr, który nie może dokończyć nagłówka, powoduje, że silnik próbuje zastosować każdy sposób partycjonowania tego działania. Automatyczne wykrywanie nagłówka jest domyślnie włączone i pobiera format z tekstu pliku, więc separator jest pobierany z samego eksportu i obiekt wywołujący nie musi przekazywać żadnego formatu nagłówka. Separatory (, ) i \ zamiast tego zgłaszają re.PatternError, separatory *, | I ? raise TypeError, a separatory ^ i $ raise KeyError, z których żaden nie jest przechwytywany przez bibliotekę. Powoduje to analizę pliku liczącego kilkaset bajtów zużywającą procesor bez zakończenia lub nieprzechwycony wyjątek w programie wywołującym.