ALT-PU-2024-3172-1

Обновление пакета python3-module-cairosvg в ветке sisyphus_riscv64

Версия2.7.1-alt1

Задание#0

Опубликовано2024-02-28

Макс. серьёзностьCRITICAL

Серьёзность:

Закрытые проблемы (3)

CRITICAL9.9

Уязвимость SVG-конвертера CairoSVG, связанная с недостаточной проверкой поступающих запросов, позволяющая нарушителю осуществить SSRF-атаку или вызвать отказ в обслуживании

Опубликовано: 2023-04-20

CVSS 3.xКРИТИЧЕСКАЯ 9.9

CVSS:3.x/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:H/A:L

CVSS 2.0КРИТИЧЕСКАЯ 9.0

CVSS:2.0/AV:N/AC:L/Au:N/C:P/I:C/A:P

Ссылки

CVE-2023-27586

MEDIUM5.5

CairoSVG is a Python (pypi) package. CairoSVG is an SVG converter based on Cairo. In CairoSVG before version 2.5.1, there is a regular expression denial of service (REDoS) vulnerability. When processing SVG files, the python package CairoSVG uses two regular expressions which are vulnerable to Regular Expression Denial of Service (REDoS). If an attacker provides a malicious SVG, it can make cairosvg get stuck processing the file for a very long time. This is fixed in version 2.5.1. See Referenced GitHub advisory for more information.

Опубликовано: 2021-01-06Изменено: 2024-11-21

CVSS 2.0СРЕДНЯЯ 4.3

CVSS:2.0/AV:N/AC:M/Au:N/C:N/I:N/A:P

CVSS 3.xСРЕДНЯЯ 5.5

CVSS:3.x/CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H

Ссылки

HIGH7.1

CairoSVG is an SVG converter based on Cairo, a 2D graphics library. Prior to version 2.7.0, Cairo can send requests to external hosts when processing SVG files. A malicious actor could send a specially crafted SVG file that allows them to perform a server-side request forgery or denial of service. Version 2.7.0 disables CairoSVG's ability to access other files online by default.

Опубликовано: 2023-03-20Изменено: 2024-11-21

CVSS 3.xВЫСОКАЯ 7.1

CVSS:3.x/CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:H

Ссылки