pypa/setuptools vulnerable to Regular Expression Denial of Service (ReDoS)

TRUNG BÌNH 5.9CVE-2022-40897 · BIT-setuptools-2022-40897 · GHSA-r9hx-vwmv-q579 · Công bố 23/12/2022 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2022-40897 là lỗ hổng mức TRUNG BÌNH (CVSS 5.9) ảnh hưởng setuptools, setuptools (python).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 2.6%, cao hơn 85.5% các lỗ hổng khác.
Cách xử lý: cập nhật lên 65.5.1 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
setuptools PyPI	`< 65.5.1`	`65.5.1`
setuptools python	`< 65.5.1`	`65.5.1`

Mô tả

Python Packaging Authority (PyPA)'s setuptools is a library designed to facilitate packaging Python projects. Setuptools version 65.5.0 and earlier could allow remote attackers to cause a denial of service by fetching malicious HTML from a PyPI package or custom PackageIndex page due to a vulnerable Regular Expression in package_index. This has been patched in version 65.5.1.

Mô tả của NVD

Python Packaging Authority (PyPA) setuptools before 65.5.1 allows remote attackers to cause a denial of service via HTML in a crafted package or custom PackageIndex page. There is a Regular Expression Denial of Service (ReDoS) in package_index.py.