CVE-2026-59893
Publiée le 2026-08-17 · Dernière modification le 2026-10-23
Les applications utilisant la bibliothèque Python `sqlparse` dans une version antérieure à la 0.6.0 sont vulnérables à une attaque par déni de service. Un attaquant distant non authentifié peut faire planter le service ou paralyser le processeur en envoyant une chaîne SQL spécialement conçue qui déclenche un traitement excessif. Comme cela ne nécessite ni authentification ni interaction de l'utilisateur, l'attaque peut être exécutée facilement via un réseau.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
sqlparse is a non-validating SQL parser module for Python. Prior to 0.6.0, SQL_REGEX in sqlparse/keywords.py and the per-position loop in sqlparse/lexer.py repeatedly scan unmatched dollar-quoted literal and multiline-comment delimiters, causing quadratic CPU consumption through sqlparse.parse(), sqlparse.format(), and sqlparse.split(). This issue is fixed in version 0.6.0.