CVE-2026-86000 in Soup Sieve
Сводка
по VulDB • 17.09.2026
Soup Sieve — это библиотека селекторов CSS, предназначенная для использования с Beautiful Soup 4. До версии 2.9 парсер селекторов в файле src/soupsieve/css_parser.py определяет IDENTIFIER с соседними квантифицированными группами над пересекающимися классами символов, а VALUE включает идентификатор (IDENTIFIER) для селекторов атрибутов. Когда управляемый злоумышленником селектор содержит длинный идентификатор или неэкранированную последовательность значения атрибута, за которой следует ввод, приводящий к общему срабатыванию регулярного выражения, движок регулярных выражений исследует квадратичное количество вариантов разбиения между пересекающимися группами. Пользовательские селекторы могут достичь этого пути через функции soupsieve.compile(), soupsieve.select() или BeautifulSoup.select(), в то время как приложения, использующие только жестко заданные (hard-coded) селекторы, не подвержены риску. Возникающее потребление ресурсов процессора может блокировать GIL Python, истощать рабочие процессы приложений и вызывать простои службы; успешные совпадения простых идентификаторов имеют линейную сложность, а уязвимость не приводит к повреждению памяти или выполнению кода. Проблема исправлена в версии 2.9.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.