JVNDB-2026-021265

The FastAPI Expertのpython-multipartにおける複数の脆弱性

Python-MultipartはPython向けのストリーミングmultipartパーサーです。バージョン0.0.30より前では、application/x-www-form-urlencodedのボディを解析する際に、QuerystringParserがフィールドセパレータを2段階で検出していました。まず、残りのバッファ全体を&でスキャンし、&がどこにも存在しない場合にのみ;のスキャンに切り替えていました。;をセパレータとして使い、&を含まないボディの場合は、各フィールドの処理ごとに全残りバッファに対して失敗した&のフルスキャンが行われ、その後近くの;を検出していました。チャンクサイズB内にN個のセミコロン区切りフィールドがあると、チャンクあたりO(B^2)のバイト比較が発生します。攻撃者はa;a;a;...のような小さい悪意あるボディを送信し、パーサーをリクエストごとに数秒間CPUを消費させることが可能です。複数の同時リクエストによってワーカープロセスが枯渇する恐れがあります。この脆弱性はバージョン0.0.30で修正されました。

The FastAPI Expert

• python-multipart 0.0.30 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Quadratic-time querystring parsing with semicolon separators causes CPU denial of service  Advisory  Kludex/python-multipart  GitHub

1. リソースの枯渇(CWE-400) [その他]
2. アルゴリズムの複雑性(CWE-407) [その他]

1. CVE-2026-53539

1. National Vulnerability Database (NVD) : CVE-2026-53539

• [2026年06月29日]
    掲載