CVE-2026-26209

cbor2, Concise Binary Object Representation (CBOR) seriyallaşdırma formatı üçün kodlaşdırma və dekodlaşdırma təmin edir. 5.9.0 versiyasından əvvəlki versiyalar, dərin dərəcədə iç-içə yerləşmiş CBOR strukturları dekodlaşdırılarkən nəzarətsiz rekursiya səbəbindən Xidmətdən İmtina (DoS) hücumuna qarşı həssasdır. Bu zəiflik həm saf Python tətbiqinə, həm də `_cbor2` C genişlənməsinə təsir edir. C genişlənməsi məlumatlara əsaslanan dərinlik limiti əvəzinə Python-un daxili rekursiya limitlərindən (`Py_EnterRecursiveCall`) istifadə edir, bu isə limitə çatdıqda hələ də `RecursionError` xətasının yaranmasına və işçi prosesin çökməsinə səbəb olur. Kitabxana orta səviyyəli iç-içəkeçmələri idarə etsə də, sərt dərinlik limitinə malik deyil. Hücumçu təxminən 100,000 dənə iç-içə yerləşmiş `0x81` massivləri ehtiva edən xüsusi hazırlanmış CBOR faylı göndərə bilər. `cbor2.loads()` bunu analiz etməyə çalışdıqda, Python interpretatorunun maksimum rekursiya dərinliyinə çatır və ya stek resurslarını tükədir ki, bu da prosesin `RecursionError` ilə çökməsinə səbəb olur. Kitabxananın öz limitlərini tətbiq etməməsi, xarici hücumçuya ev tətbiqinin stek resurslarını tükətməyə imkan verir. Bir çox veb tətbiq serverlərində (məsələn, Gunicorn, Uvicorn) və ya tapşırıq növbələrində (Celery) idarə olunmayan `RecursionError` işçi prosesi dərhal dayandırır. Bu cür kiçik (<100KB) zərərli paketlərin axınını göndərməklə, hücumçu işçi prosesləri təkrar-təkrar çökdürə bilər ki, bu da tətbiq üçün tam Xidmətdən İmtina ilə nəticələnir. 5.9.0 versiyası bu problemi aradan qaldırır.