CVE-2025-68480Средний
ANC
ANC
Коррекции базы Anchore
Дополнительная лента, накладываемая поверх upstream-источников. Мейнтейнеры Anchore публикуют корректирующие записи, чтобы подавить известные ложные срабатывания и восполнить пробелы в CPE/PURL, из-за которых Grype и аналогичные сканеры могут некорректно оценить систему.
Регион
США
Обновления
6 ч
Лицензия
Apache-2.0
Выверенные коррекции базы уязвимостей Anchore/Grype: подавление ложных срабатываний, недостающие привязки CPE и дистрибутив-специфичные бэкпорты исправлений.
https://github.com/anchore/grype-db →Поделиться ссылкой
Любой, у кого есть ссылка, сможет открыть эту уязвимость.
Marshmallow - это легкая библиотека для преобразования сложных объектов в простые типы данных Python и из них. В версиях от 3.0.0rc1 до 3.2…
CVSS
5.3
Средний
EPSS
0.00
p28
Опубликовано
2025-01-01
Обновлено
2025-01-01
Описание
Marshmallow - это легкая библиотека для преобразования сложных объектов в простые типы данных Python и из них. В версиях от 3.0.0rc1 до 3.26.2 и с 4.0.0 до 4.1.2, Schema.load(data, много=True) уязвим для атак типа отказа в обслуживании. Запрос умеренного размера может потреблять непропорциональное количество времени процессора. Эта проблема была исправлена в версиях 3.26.2 и 4.1.2.
Теги · CWE
Без аутентификации
CWE-405
CWE-405КлассНеполный
Асимметричное потребление ресурсов (усиление)
Продукт не обеспечивает должного контроля ситуаций, при которых злоумышленник может вынудить продукт потреблять или производить избыточное количество ресурсов, не затрачивая при этом эквивалентных усилий или иным образом не подтверждая авторизацию, то есть влияние злоумышленника носит «асимметричный» характер.
https://cwe.mitre.org/data/definitions/405.html →Открыть в коллекции CWE →Затронутые продукты
Python-marshmallowPython-marshmallowPython-marshmallowPython-marshmallowPython-marshmallow
Вектор CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
Хронология
2025-01-01
Опубликована
2025-01-01
Обновлена
Разбор CVSS 3.1
Вектор атаки
AV: N
Сеть (N)
Сложность атаки
AC: L
Низкая (L)
Требуемые привилегии
PR: N
Отсутствуют (N)
Взаимодействие с пользователем
UI: N
Отсутствует (N)
Область воздействия
S: U
Неизменная (U)
Воздействие на конфиденциальность
C: N
Отсутствует (N)
Воздействие на целостность
I: N
Отсутствует (N)
Воздействие на доступность
A: L
Низкое (L)
Индикаторы эксплуатации
EPSS
0.001 · p28
Известна эксплуатация (KEV)
Нет
Проверки Сканер-ВС
Проверок Сканер-ВС для этой уязвимости в базе пока нет.
Уязвимое ПО
| Продукт | Вендор | Статус |
|---|---|---|
| Отслеживается | ||
| python-marshmallow | Отслеживается | |
| python-marshmallow | Отслеживается | |
| python-marshmallow | Отслеживается | |
| python-marshmallow | Отслеживается | |
| python-marshmallow | Отслеживается |
Источники данных
ANC
ANC
Коррекции базы Anchore
Дополнительная лента, накладываемая поверх upstream-источников. Мейнтейнеры Anchore публикуют корректирующие записи, чтобы подавить известные ложные срабатывания и восполнить пробелы в CPE/PURL, из-за которых Grype и аналогичные сканеры могут некорректно оценить систему.
Регион
США
Обновления
6 ч
Лицензия
Apache-2.0
Выверенные коррекции базы уязвимостей Anchore/Grype: подавление ложных срабатываний, недостающие привязки CPE и дистрибутив-специфичные бэкпорты исправлений.
https://github.com/anchore/grype-db →DEB
DEB
Бюллетени безопасности Debian (DSA)
DSA публикуются командой безопасности Debian для проблем, затрагивающих стабильный дистрибутив. Трекер security-tracker.debian.org дополнительно сопоставляет каждый CVE со статусом на уровне пакетов по всем поддерживаемым редакциям.
Регион
Международно
Обновления
1 ч
Лицензия
Общественное достояние
Бюллетени для стабильной и предыдущей стабильной версий Debian. Примечания к релизам содержат точную версию .deb-пакета, устраняющего каждую уязвимость.
https://www.debian.org/security/ →UBU
UBU
Бюллетени безопасности Ubuntu (USN)
USN являются авторитетным источником для систем Ubuntu. CVE Tracker связывает каждую уязвимость со статусом по релизам (needed, released, not-affected) и с конкретной ошибкой в Launchpad, в которой интегрировано исправление.
Регион
Международно
Обновления
1 ч
Лицензия
CC BY-SA 3.0
Бюллетени безопасности для LTS- и промежуточных релизов Ubuntu: пакеты main, universe и (через Ubuntu Pro) ESM-расширенные.
https://ubuntu.com/security/notices →Внешние ссылки
https://github.com/marshmallow-code/marshmallow/commit/d24a0c9df061c4daa92f71cf85aca25b83eee508@https://github.com/marshmallow-code/marshmallow/security/advisories/GHSA-428g-f7cq-pgp5https://www.cve.org/CVERecord?id=CVE-2025-68480@https://github.com/marshmallow-code/marshmallow/security/advisories/GHSA-428g-f7cq-pgp5@https://github.com/marshmallow-code/marshmallow/commit/218d98a785d3bd25dad8880bb07e9cce70340f31 (4.1.2)@https://github.com/marshmallow-code/marshmallow/commit/70141f4180fb94ced3544cdefdaff89172dd3956 (4.1.2)@https://github.com/marshmallow-code/marshmallow/commit/36f87877d0e889e682386a0121eabe030cde57b1 (4.1.2)@https://github.com/marshmallow-code/marshmallow/commit/0356a3f1c307830f8ded56d823abca5611c594c9 (3.26.2)@https://github.com/marshmallow-code/marshmallow/commit/6d4a17dad54ea9711040c6aa6ba4d59267242a41 (3.26.2)@https://github.com/marshmallow-code/marshmallow/commit/489a8d421dc7955bb53b89e962d69465fbc5b6af (3.26.2)@https://github.com/marshmallow-code/marshmallow/commit/d24a0c9df061c4daa92f71cf85aca25b83eee508