Średnia

Marshmallow has DoS in Schema.load(many)

Ujawniono: 22.12.2025
Aktualizacja: 11.10.2026 15:17

Impact

Schema.load(data, many=True) is vulnerable to denial of service attacks. A moderately sized request can consume a disproportionate amount of CPU time.

Patches

4.1.2, 3.26.2

Workarounds

python

# Fail fast
def load_many(schema, data, **kwargs):
    if not isinstance(data, list):
        raise ValidationError(['Invalid input type.'])
    return [schema.load(item, **kwargs) for item in data]

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Python (PyPI)	marshmallow	>= 3.0.0rc1, < 3.26.2, >= 4.0.0, < 4.1.2	3.26.2, 4.1.2

Odnośniki

Ocena CVSS 5.3/10

Wektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
Słabość (CWE): CWE-405
Platforma: Python (PyPI)
Paczka: marshmallow
Ujawniono: 22.12.2025
Aktualizacja: 11.10.2026 15:17

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2026-1605 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-428g-f7cq-pgp5 - CC BY 4.0

Historia podatności: marshmallow

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 2
Pierwsza → ostatnia: 09.2018 12.2025
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Średnia 2

Ujawnienia w latach

2018: 1
2019: 0
2020: 0
2021: 0
2022: 0
2023: 0
2024: 0
2025: 1
2026: 0

22.12.2025

Marshmallow has DoS in Schema.load(many) ten wpis

Średnia · 5.3 CVE-2025-68480 >= 3.0.0rc1, < 3.26.2, >= 4.0.0, < 4.1.2 3.26.2, 4.1.2
18.09.2018

In marshmallow library the schema "only" option treats an empty list as implying no "only" option

Średnia · 5.3 CVE-2018-17175 < 2.15.1, >= 3.0a0, < 3.0.0b9 2.15.1, 3.0.0b9

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację