FICHE CVE

CVE-2026-54284

Publiée le 2026-08-17 · Dernière modification le 2026-10-23

🇫🇷 EN BREF

Les applications Python utilisant la bibliothèque `sqlparse` (versions antérieures à 0.6.0) sont vulnérables à une attaque par déni de service. Un attaquant distant non authentifié peut faire planter ou geler votre serveur en envoyant une chaîne SQL spécialement conçue qui force le processeur à entrer dans une boucle répétitive coûteuse en ressources. Comme cela ne nécessite ni connexion ni interaction de l'utilisateur, l'exécution est triviale si votre application accepte et analyse des entrées SQL provenant du réseau.

CVSS 4.08.7 ÉLEVÉE

Type de faiblesse

CWE-407 Déni de service par expression régulière (ReDoS) · CWE-1333

Publiée2026-08-17

Dernière modification2026-10-23

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

sqlparse is a non-validating SQL parser module for Python. Prior to 0.6.0, TokenList construction and string conversion in sqlparse/sql.py repeatedly flatten nested token subtrees constructed by group_parenthesis and group_case, causing quadratic CPU consumption through sqlparse.parse(), sqlparse.format(), and sqlparse.split() before depth and token limits terminate processing. This issue is fixed in version 0.6.0.