Mittel

Marshmallow has DoS in Schema.load(many)

Veröffentlicht: 22.12.2025
Aktualisiert: 11.10.2026 15:17

Impact

Schema.load(data, many=True) is vulnerable to denial of service attacks. A moderately sized request can consume a disproportionate amount of CPU time.

Patches

4.1.2, 3.26.2

Workarounds

python

# Fail fast
def load_many(schema, data, **kwargs):
    if not isinstance(data, list):
        raise ValidationError(['Invalid input type.'])
    return [schema.load(item, **kwargs) for item in data]

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
Python (PyPI)	marshmallow	>= 3.0.0rc1, < 3.26.2, >= 4.0.0, < 4.1.2	3.26.2, 4.1.2

Verweise

CVSS-Wert 5.3/10

CVSS-Vektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
Schwäche (CWE): CWE-405
Plattform: Python (PyPI)
Paket: marshmallow
Veröffentlicht: 22.12.2025
Aktualisiert: 11.10.2026 15:17

Quellen und Lizenzen

OSV / GitHub Advisory Database - PYSEC-2026-1605 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-428g-f7cq-pgp5 - CC BY 4.0

Schwachstellenhistorie: marshmallow

Alle veröffentlichten Schwachstellen dieses Pakets (Python (PyPI)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Einträge insgesamt: 2
Erste → letzte: 09.2018 12.2025
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Mittel 2

Veröffentlichungen pro Jahr

2018: 1
2019: 0
2020: 0
2021: 0
2022: 0
2023: 0
2024: 0
2025: 1
2026: 0

22.12.2025

Marshmallow has DoS in Schema.load(many) dieser Eintrag

Mittel · 5.3 CVE-2025-68480 >= 3.0.0rc1, < 3.26.2, >= 4.0.0, < 4.1.2 3.26.2, 4.1.2
18.09.2018

In marshmallow library the schema "only" option treats an empty list as implying no "only" option

Mittel · 5.3 CVE-2018-17175 < 2.15.1, >= 3.0a0, < 3.0.0b9 2.15.1, 3.0.0b9

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden