PT-2022-26685 · Pypi · Cleo

Denys Vozniuk · Publicado 2022-11-09 · Atualizado 2023-07-06 · CVE-2022-42966

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.9

Média

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

cleo (versões afetadas não especificadas)

Descrição

Um ReDoS (Negação de Serviço por Expressão Regular) exponencial pode ser acionado no pacote cleo do PyPI quando um invasor consegue fornecer uma entrada arbitrária ao método Table.set rows.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

DoS

Enumeração de Fraquezas

CWE-1333

Identificadores relacionados

CVE-2022-42966

GHSA-2P9H-CCW7-33GF

PYSEC-2022-43178

Produtos afetados

Cleo

Referências · 13

• 🔥 https://research.jfrog.com/vulnerabilities/cleo-redos-xray-257186 · Exploit
• https://github.com/python-poetry/cleo/releases/tag/2.0.0 · Nota
• https://github.com/python-poetry/cleo/pull/285 · Nota
• https://github.com/python-poetry/cleo · Nota
• https://github.com/python-poetry/cleo/commit/b5b9a04d2caf58bf7cf94eb7ae4a1ebbe60ea455 · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/cleo/PYSEC-2022-43178.yaml · Nota
• https://osv.dev/vulnerability/UBUNTU-CVE-2022-42966 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2022-42966 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-42966 · Nota de Segurança
• https://osv.dev/vulnerability/PYSEC-2022-43178 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-42966 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-2p9h-ccw7-33gf · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2022-42966 · Nota de Segurança