Më 22 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-9v8h-qqgm-4m35 për një dobësi me rrezikshmëri kritike (CVSS 9.2) në paketën brotli të ekosistemit PyPI. Dobësia prek gjithsej 2 paketa.
Paketat e prekura
- brotli (PyPI) — versionet e prekura:
>= 1.0.3, < 1.2.1; versioni me rregullim:1.2.1 - brotlicffi (PyPI) — versionet e prekura:
>= 1.0.3, < 1.2.1.0; versioni me rregullim:1.2.1.0
Detaje
- Rrezikshmëria: Kritike (CVSS 9.2)
- CWE: CWE-252 (Unchecked Return Value)
- Identifikuesit: GHSA-9v8h-qqgm-4m35
Përmbledhja zyrtare
Brotli: Shkrimi jashtë kufijve në dekoduesin Brotli («Node2Shell») prek edhe paketën Brotli në PyPI
Një cenueshmëri e tejmbushjes së buffer-it në dekoduesin Brotli (c/dec/decode.c) prek versionet 1.0.3 deri në 1.2.0 të Google Brotli në të gjitha platformat. Përmes një rrjedhe të dhënash të kompresuar me Brotli dhe të përgatitur posaçërisht, një sulmues në distancë, pa autentikim, mund të korruptojë memorien ngjitur që ruan gjendjen e dekoduesit.
Shfrytëzimi mund të ekspozojë përmbajtje të ndjeshme të memories, të shkaktojë mohim shërbimi ose, potencialisht, të mundësojë ekzekutimin e kodit arbitrar. Problemi prek edhe paketën Brotli të shpërndarë përmes PyPI.
Përdoruesit duhet të përditësojnë çdo bibliotekë ose skedar binar Brotli të versioneve 1.0.3 deri në 1.2.0 në versionin më të fundit të disponueshëm: 1.0.10, 1.1.1 ose 1.2.1.
Çfarë duhet të bëni
Nëse projektet tuaja përdorin brotli, përditësojeni sa më shpejt në versionin 1.2.1 ose më të ri.
