CVE-2026-44722
CVE-2026-44722 · pyzipper: Encryption bypass for small files encrypted with pyzipper
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
pyzipper is a replacement for Python's zipfile that can read and write AES encrypted zip files. Prior to 0.4.0, a Python operator precedence bug in pyzipper/zipfile_aes.py caused the AE-2 format to never be automatically selected during encryption, causing encrypted entries to be written in AE-1 format and exposing the plaintext CRC32 checksum in the ZIP header and, for unseekable zip archives, in the datadescripter section, allowing an attacker who possesses the archive to brute-force candidate plaintexts for small or low-entropy files by comparing CRC32 values. This issue is fixed in version 0.4.0.
CVSS 6.2 · Media · EPSS 0,1% · Corrección disponible
- Publicación
- Actualización
Pila tecnológica: system · python
Productos y versiones afectados
pyzipper
- Versiones
- < 0.4.0: Afectada
Sin corrección publicada
python-pyzipper Debian:13
- Versiones
- 0.3.6-5
- 0.4.0-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
python-pyzipper Debian:14
- Versiones
- 0.3.6-5
- Intervalos de versiones afectados
- ECOSYSTEM: < 0.4.0-1
Actualiza a 0.4.0-1
pyzipper PyPI
- Versiones
- 0.1.0
- 0.2.0
- 0.3.0
- 0.3.1
- 0.3.2
- 0.3.3
- 0.3.4
- 0.3.5
- 0.3.6
- Intervalos de versiones afectados
- ECOSYSTEM: < 0.4.0
Actualiza a 0.4.0
python-pyzipper Ubuntu:26.10
- Versiones
- 0.3.6-5
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
python-pyzipper Ubuntu:26.04:LTS
- Versiones
- 0.3.6-5
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada