Cryptography vulnerable to buffer overflow if non-contiguous buffers were passed to APIs

NGHIÊM TRỌNG 9.8CVE-2026-39892 · GHSA-p423-j2cm-9vmq · PYSEC-2026-36 · Công bố 08/04/2026 · cập nhật 10/09/2026

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
cryptography PyPI	`≥ 45.0.0, < 46.0.7`	`46.0.7`
cryptography cryptography.io	`≥ 45.0.0, < 46.0.7`	`46.0.7`

Mô tả

If a non-contiguous buffer was passed to APIs which accepted Python buffers (e.g. Hash.update()), this could lead to buffer overflows. For example:

h = Hash(SHA256())
b.update(buf[::-1])

would read past the end of the buffer on Python >3.11

Mô tả của NVD

cryptography is a package designed to expose cryptographic primitives and recipes to Python developers. From 45.0.0 to before 46.0.7, if a non-contiguous buffer was passed to APIs which accepted Python buffers (e.g. Hash.update()), this could lead to buffer overflows. This vulnerability is fixed in 46.0.7.

Tham khảo

Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.

Quét site miễn phí