pymonocypher: Potential heap buffer overflow on nb_blocks in argon2i_32 when provided buffer is too small
Impact
The argon2i_32 implementation does not check the nb_blocks size. If the caller does not provide a sufficiently large buffer based on the API contract, then argon2i_32 will write past the end of the buffer and possibly corrupt the heap.
Patches
Fixed in 4.0.2.8, which now verifies that nb_blocks is large enough. See 90ff5b1.
Workarounds
Provide a correctly sized nb_blocks buffer.
pymonocypher thanks Haris (hextheshadow) for the vulnerability report, details, and recommended fix.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Python (PyPI) | pymonocypher | < 4.0.2.8 | 4.0.2.8 |
Odnośniki
- https://github.com/jetperch/pymonocypher/security/advisories/GHSA-8f95-v3jq-cj86
- https://github.com/jetperch/pymonocypher/commit/90ff5b13b13b5673c372e188f482d8c172e6ab86
- https://github.com/jetperch/pymonocypher
- https://pypi.org/project/pymonocypher
- https://github.com/advisories/GHSA-8f95-v3jq-cj86
- https://nvd.nist.gov/vuln/detail/CVE-2026-53720
- Wektor CVSS
CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:L/SC:N/SI:N/SA:N- Słabość (CWE)
CWE-122, CWE-1284, CWE-787- Platforma
- Python (PyPI)
- Paczka
pymonocypher- Ujawniono
- 09.07.2026
- Aktualizacja
- 11.10.2026 14:17
Źródła i licencje
OSV / GitHub Advisory Database - PYSEC-2026-3000 - PyPA Advisory Database; CC BY 4.0
OSV / GitHub Advisory Database - GHSA-8f95-v3jq-cj86 - CC BY 4.0
Historia podatności: pymonocypher
Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
To jedyna znana podatność tej paczki.
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.