CVE-2021-34141

ŚrednieCVSS 5.3

Opublikowano: 17/12/2021(UTC)Zaktualizowano: 08/10/2026(UTC)Przetłumaczono: 09/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

1.56%

Percentyl 75 - wyżej niż 75% wszystkich znanych CVE

Streszczenie

Niekompletne porównanie łańcuchów znaków w komponencie numpy.core w NumPy przed wersją 1.22.0 pozwala atakującym wywołać nieznacznie nieprawidłowe kopiowanie poprzez skonstruowanie określonych obiektów łańcuchowych. Producent twierdzi, że zgłoszone zachowanie kodu jest "całkowicie nieszkodliwe".

Ocena ryzyka

Mimo że producent uznaje to za nieszkodliwe, potencjalnie może to prowadzić do nieoczekiwanego zachowania aplikacji w rzadkich przypadkach.

Rekomendacja

Zaktualizuj NumPy do wersji 1.22.0 lub nowszej.

Inne podatności w NumPy

CVE-2017-12852Wysokie
Funkcja numpy.pad w Numpy w wersji 1.13.1 i starszych nie posiada walidacji wejścia. Pusta lista lub ndarray może spowodować nieskończoną pętlę, co umożliwia atak DoS.

Oryginalny opis (angielski, źródło NVD)

An incomplete string comparison in the numpy.core component in NumPy before 1.22.0 allows attackers to trigger slightly incorrect copying by constructing specific string objects. NOTE: the vendor states that this reported code behavior is "completely harmless."

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS