CVE-2026-44722
CVE-2026-44722 · pyzipper: Encryption bypass for small files encrypted with pyzipper
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
pyzipper is a replacement for Python's zipfile that can read and write AES encrypted zip files. Prior to 0.4.0, a Python operator precedence bug in pyzipper/zipfile_aes.py caused the AE-2 format to never be automatically selected during encryption, causing encrypted entries to be written in AE-1 format and exposing the plaintext CRC32 checksum in the ZIP header and, for unseekable zip archives, in the datadescripter section, allowing an attacker who possesses the archive to brute-force candidate plaintexts for small or low-entropy files by comparing CRC32 values. This issue is fixed in version 0.4.0.
CVSS 6.2 · Moyenne · EPSS 0,1% · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: system · python
Produits et versions concernés
pyzipper
- Versions du logiciel
- < 0.4.0: Concernée
Aucun correctif publié
python-pyzipper Debian:13
- Versions du logiciel
- 0.3.6-5
- 0.4.0-1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
python-pyzipper Debian:14
- Versions du logiciel
- 0.3.6-5
- Plages de versions concernées
- ECOSYSTEM: < 0.4.0-1
Mettez à jour vers 0.4.0-1
pyzipper PyPI
- Versions du logiciel
- 0.1.0
- 0.2.0
- 0.3.0
- 0.3.1
- 0.3.2
- 0.3.3
- 0.3.4
- 0.3.5
- 0.3.6
- Plages de versions concernées
- ECOSYSTEM: < 0.4.0
Mettez à jour vers 0.4.0
python-pyzipper Ubuntu:26.10
- Versions du logiciel
- 0.3.6-5
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
python-pyzipper Ubuntu:26.04:LTS
- Versions du logiciel
- 0.3.6-5
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié