PT-2024-35993 · Pypi+6 · Python-Multipart+6
Mnqazi
+1
·
Publicado
2024-12-02
·
Atualizado
2026-06-03
·
CVE-2024-53981
CVSS v4.0
8.7
Alta
| Vetor | AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N |
Nome do software vulnerável e versões afetadas:
versões do python-multipart anteriores à 0.0.18
Descrição:
O problema surge durante a análise de dados de formulário, pois o python-multipart ignora as quebras de linha antes do primeiro delimitador e quaisquer bytes finais após o último delimitador, um byte de cada vez, gerando um evento de log a cada vez. Isso pode causar um registro excessivo de logs para determinadas entradas. Um invasor poderia explorar isso enviando uma solicitação maliciosa com muitos dados antes do primeiro ou após o último delimitador, causando alta carga na CPU e paralisando a thread de processamento. No caso de um aplicativo ASGI, isso poderia paralisar o loop de eventos e impedir que outras solicitações fossem processadas, resultando em uma negação de serviço.
Recomendações:
Para versões do python-multipart anteriores à 0.0.18, atualize para a versão 0.0.18 para resolver o problema. Como solução temporária, considere restringir a quantidade de dados que podem ser enviados antes do primeiro ou após o último limite para minimizar o risco de exploração.
Exploit
Correção
DoS
Allocation of Resources Without Limits
Resource Exhaustion
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Alt Linux
Debian
Linuxmint
Red Os
Suse
Ubuntu
Python-Multipart