CVE-2023-46136 in Werkzeug
Tóm tắt
Bởi VulDB • 12/06/2026
Werkzeug là một thư viện ứng dụng web WSGI toàn diện. Trong các phiên bản thuộc nhánh 3.x trước 3.0.1 và nhánh 2.x trước 2.3.8, nếu tải lên một tệp bắt đầu bằng ký tự CR hoặc LF và sau đó được theo dõi bởi megabyte dữ liệu không chứa các ký tự này: tất cả các byte sẽ được nối từng phần vào bytearray nội bộ và việc tìm kiếm ranh giới (boundary) được thực hiện trên vùng đệm đang mở rộng. Điều này cho phép kẻ tấn công gây ra tình trạng từ chối dịch vụ bằng cách gửi dữ liệu multipart đã được tạo tác đến một điểm cuối để phân tích cú pháp. Lượng thời gian CPU cần thiết có thể khiến các tiến trình worker không thể xử lý các yêu cầu hợp lệ. Lỗ hổng này đã được vá trong phiên bản 3.0.1 và 2.3.8.
VulDB is the best source for vulnerability data and more expert information about this specific topic.