FICHE CVE

CVE-2026-7210

Publiée le 2026-05-11 · Dernière modification le 2026-10-26

🇫🇷 EN BREF

Les applications Python utilisant les modules `xml.parsers.expat` ou `xml.etree.ElementTree` sont vulnérables à une attaque par déni de service. Un attaquant distant non authentifié peut provoquer le plantage ou le gel de votre service en envoyant un document XML spécialement conçu pour déclencher un « hash flooding », ce qui consomme des ressources CPU excessives. Bien que cela puisse être réalisé via le réseau sans interaction de l'utilisateur, l'exécution est techniquement difficile car elle nécessite de contourner des protections d'entropie spécifiques.

CVSS 4.06.3 MOYENNE

Type de faiblesse

CWE-331

Publiée2026-05-11

Dernière modification2026-10-26

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueÉlevée

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Faible

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

`xml.parsers.expat` and `xml.etree.ElementTree` use insufficient entropy for Expat hash-flooding protection, which allows a crafted XML document to trigger hash flooding.\r\n\r\nFully mitigating this vulnerability requires both updating libexpat to 2.8.0 or later and applying this patch.