Tóm tắt nhanh
- CVE-2025-68480 là lỗ hổng mức TRUNG BÌNH (CVSS 5.3) ảnh hưởng marshmallow.
- Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.30%, cao hơn 22.4% các lỗ hổng khác.
- Cách xử lý: cập nhật lên 3.26.2, 4.1.2 hoặc mới hơn.
| Gói / sản phẩm | Phiên bản bị ảnh hưởng | Phiên bản đã vá |
|---|
| marshmallow PyPI | ≥ 3.0.0rc1, < 3.26.2≥ 4.0.0, < 4.1.2
| 3.26.24.1.2
|
Mô tả
Impact
Schema.load(data, many=True) is vulnerable to denial of service attacks. A moderately sized request can consume a disproportionate amount of CPU time.
Patches
4.1.2, 3.26.2
Workarounds
# Fail fast
def load_many(schema, data, **kwargs):
if not isinstance(data, list):
raise ValidationError(['Invalid input type.'])
return [schema.load(item, **kwargs) for item in data]
Mô tả của NVD
Marshmallow is a lightweight library for converting complex objects to and from simple Python datatypes. In versions from 3.0.0rc1 to before 3.26.2 and from 4.0.0 to before 4.1.2, Schema.load(data, many=True) is vulnerable to denial of service attacks. A moderately sized request can consume a disproportionate amount of CPU time. This issue has been patched in version 3.26.2 and 4.1.2.
Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.
Quét site miễn phí