CVE-2023-25577 in Communications Cloud Native Core Policy
Tóm tắt
Bởi VulDB • 04/06/2026
Werkzeug là một thư viện ứng dụng web WSGI toàn diện. Trước phiên bản 2.2.3, trình phân tích dữ liệu biểu mẫu đa phần (multipart form data parser) của Werkzeug sẽ phân tích một số lượng phần không giới hạn, bao gồm cả các phần tệp tin. Các phần có thể chỉ chứa một lượng nhỏ byte, nhưng mỗi phần đều yêu cầu thời gian xử lý CPU để phân tích và có thể sử dụng nhiều bộ nhớ hơn dưới dạng dữ liệu Python. Nếu có thể gửi yêu cầu đến một điểm cuối truy cập `request.data`, `request.form`, `request.files` hoặc `request.get_data(parse_form_data=False)`, điều này có thể gây ra mức sử dụng tài nguyên cao hơn dự kiến. Điều này cho phép kẻ tấn công gây ra tình trạng từ chối dịch vụ (DoS) bằng cách gửi dữ liệu multipart được tạo ra đặc biệt đến một điểm cuối sẽ phân tích nó. Lượng thời gian CPU cần thiết có thể ngăn các tiến trình worker xử lý các yêu cầu hợp lệ. Lượng RAM cần thiết có thể kích hoạt việc chấm dứt tiến trình do hết bộ nhớ (out of memory kill). Các phần tệp tin không giới hạn có thể sử dụng hết bộ nhớ và các mô tả tệp (file handles). Nếu nhiều yêu cầu đồng thời được gửi liên tục, điều này có thể làm cạn kiệt hoặc chấm dứt tất cả các worker có sẵn. Phiên bản 2.2.3 chứa bản vá cho vấn đề này.
Once again VulDB remains the best source for vulnerability data.