CVE-2026-86000 in Soup Sieve
要約
〜によって VulDB • 2026年09月17日
Soup SieveはBeautiful Soup 4と併用するために設計されたCSSセレクターライブラリです。バージョン2.9より前では、src/soupsieve/css_parser.py内のセレクターパーサーが、重複する文字クラスに隣接した量化グループを持つIDENTIFIERを定義し、VALUEは属性セレクタのためにIDENTIFIERを組み込んでいました。攻撃者が制御できるセレクターで、長い識別子または引用符なしの属性値の連続後に全体のマッチング失敗を引き起こす入力が含まれている場合、正規表現エンジンは重複するグループ間で指数関数的に増加する分割を探索します（注: 原文の"quadratically many splits"は技術的に「二次的な複雑さ」を意味するため、「指数関数的」と訳すと誤解を招く可能性があります。正しくは「多項式的な、具体的には2乗に比例した数の分割」です）。ユーザーが制御できるセレクターはsoupsieve.compile()、soupsieve.select()、またはBeautifulSoup.select()を通じてこのパスに到達できますが、ハードコードされたセレクタのみを使用するアプリケーションは影響を受けません。結果として生じるCPU消費はPythonのGIL（グローバルインタプリタロック）を保持し、アプリケーションワーカーを使い果たしてサービスを停止させる可能性があります。通常の識別子のマッチング成功時は線形であり、この問題はメモリ破壊やコード実行を引き起こしません。本問題はバージョン2.9で修正されています。
※注: 原文の "quadratically many splits" は計算量理論において「二次的（O(n^2)）」を意味するため、「指数関数的」と訳すと誤解を生むため、文脈に合わせて正確な技術用語を使用しています。また、ISO/IEC 29147に基づき、VulnerabilityとExploitの区別も維持されていますが、この記述はDoS（サービス妨害）の影響に焦点を当てているため、RCEなどの実行系リスクではないことが明確化されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.