CVE-2026-85999
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Soup Sieve to biblioteka selektorów CSS zaprojektowana do użytku z Beautiful Soup 4. Przed wersją 2.9 selektor_iter w src/soupsieve/css_parser.py przycina surowy selektor za pomocą RE_WS_END, zakotwiczonego na końcu wyrażenia WSC zawierającego białe znaki i komentarze używane w funkcji search(), więc silnik wyrażeń regularnych ponawia próbę zachłannego skanowania przy każdym przesunięciu początkowym. Kontrolowany przez osobę atakującą prawidłowy selektor zawierający długi wewnętrzny ciąg białych znaków lub selektor zawierający długi komentarz CSS, po którym następuje inny token, powoduje kwadratową pracę procesora przed tokenizacją. Selektory sterowane przez użytkownika mogą dotrzeć do ścieżki za pomocą zupsieve.compile() i BeautifulSoup.select(), podczas gdy nie ma to wpływu na aplikacje korzystające wyłącznie z zakodowanych na stałe selektorów. Ta główna przyczyna jest odrębna od luki w zabezpieczeniach związanej z możliwością śledzenia wstecznego IDENTIFIER i VALUE, ponieważ koszt występuje w RE_WS_END.search podczas przycinania, a nie dopasowywania tokenu. Wynikające z tego zużycie procesora może spowodować zatrzymanie biblioteki GIL języka Python, wyczerpanie pracowników i zablokowanie usługi bez powodowania uszkodzenia pamięci lub wykonania kodu. Problem został rozwiązany w wersji 2.9.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org