CVE-2026-55520
CVE-2026-55520 · Protego: Exponential backtracking ReDoS in robots.txt URL wildcard matching
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
Protego is a pure-Python robots.txt parser with support for modern conventions. Prior to 0.6.2, protego._urlpattern._URLPattern._prepare_pattern_for_regex translates every asterisk in an Allow or Disallow directive into a lazy regular-expression wildcard, so a directive containing many asterisks creates exponential backtracking. After protego.Protego.parse processes a crafted robots.txt file, protego.Protego.can_fetch can spend an attacker-controlled period matching a near-miss URL and deny service to the crawler. The vulnerable path is src/protego/_urlpattern.py in the _URLPattern match logic. This issue is fixed in version 0.6.2.
CVSS 7.1 · Élevée · EPSS 0,5% · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: system · python
Produits et versions concernés
protego
- Versions du logiciel
- < 0.6.2: Concernée
Aucun correctif publié
python-protego Debian:12
- Versions du logiciel
- 0.2.1+dfsg-1
- 0.3.0+dfsg-1
- 0.3.1+dfsg-1
- 0.4.0+dfsg-1
- 0.5.0+dfsg-1
- 0.6.0+dfsg-1
- 0.6.2+dfsg-1
- 0.7.0+dfsg-1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
python-protego Debian:13
- Versions du logiciel
- 0.4.0+dfsg-1
- 0.5.0+dfsg-1
- 0.6.0+dfsg-1
- 0.6.2+dfsg-1
- 0.7.0+dfsg-1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
python-protego Debian:14
- Versions du logiciel
- 0.4.0+dfsg-1
- 0.5.0+dfsg-1
- 0.6.0+dfsg-1
- Plages de versions concernées
- ECOSYSTEM: < 0.6.2+dfsg-1
Mettez à jour vers 0.6.2+dfsg-1
protego PyPI
- Versions du logiciel
- 0.1
- 0.1.12
- 0.1.14
- 0.1.15
- 0.1.16
- 0.1.dev0
- 0.2.0
- 0.2.1
- 0.3.0
- 0.3.1
- 0.4.0
- 0.5.0
- 0.6.0
- 0.6.1
- Plages de versions concernées
- ECOSYSTEM: < 0.6.2
Mettez à jour vers 0.6.2
python-protego Ubuntu:20.04:LTS
- Versions du logiciel
- 0.1.16+dfsg-1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
python-protego Ubuntu:22.04:LTS
- Versions du logiciel
- 0.1.16+dfsg-2
- 0.1.16+dfsg-3
- 0.2.1+dfsg-1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
python-protego Ubuntu:24.04:LTS
- Versions du logiciel
- 0.2.1+dfsg-1
- 0.3.0+dfsg-1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
python-protego Ubuntu:25.10
- Versions du logiciel
- 0.4.0+dfsg-1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
python-protego Ubuntu:26.10
- Versions du logiciel
- 0.6.0+dfsg-1
- 0.6.2+dfsg-1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
python-protego Ubuntu:26.04:LTS
- Versions du logiciel
- 0.4.0+dfsg-1
- 0.5.0+dfsg-1
- 0.6.0+dfsg-1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié