CVE-2026-33155 in DeepDiff
Resumen
por MITRE • 2026-03-20
DeepDiff es un proyecto centrado en la Diferencia Profunda y la búsqueda de cualquier dato de Python. Desde la versión 5.0.0 hasta antes de la versión 8.6.2, el des-serializador de pickle _RestrictedUnpickler valida qué clases pueden cargarse, pero no limita los argumentos de sus constructores. Algunos de los tipos en SAFE_TO_IMPORT tienen constructores que asignan memoria proporcional a su entrada (builtins.bytes, builtins.list, builtins.range). Una carga útil de pickle de 40 bytes puede forzar más de 10 GB de memoria, lo que provoca el bloqueo de aplicaciones que cargan objetos delta o llaman a pickle_load con datos no confiables. Este problema ha sido parcheado en la versión 8.6.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.