p PatchFirst

CVE-2026-54911

CVE-2026-54911 · UltraJSON: Malformed/Truncated UTF-8 Accepted and Silently Rewritten in ujson.dumps()

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

На странице показана часть фактов из источников. Полное описание и список затронутых версий приведены в связанных бюллетенях.

UltraJSON is a fast JSON encoder and decoder written in pure C with bindings for Python 3.7+. Prior to 5.13.0, ujson.dumps() (or ujson.dump() or ujson.encode()) have a reject_bytes=False option. When set, they may accept malformed or truncated UTF-8 byte sequences, silently rewriting them into different Unicode characters instead of rejecting them. This leads to input validation bypass and data integrity issues. This vulnerability is fixed in 5.13.0.

CVSS 6.5 · Средний · EPSS 0,4% · Есть исправление

Опубликовано
Обновлено

Стек: system · python

Затронутые продукты и версии

  • ultrajson

    Версии
    • < 5.13.0: Затронуто

    Нет опубликованного исправления

  • ujson Debian:12

    Версии
    • 5.10.0-1
    • 5.11.0-1
    • 5.11.0-2
    • 5.11.0-3
    • 5.13.0-1
    • 5.7.0-1
    • 5.8.0-1
    • 5.9.0-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • ujson Debian:13

    Версии
    • 5.10.0-1
    • 5.11.0-1
    • 5.11.0-2
    • 5.11.0-3
    • 5.13.0-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • ujson Debian:14

    Версии
    • 5.10.0-1
    • 5.11.0-1
    • 5.11.0-2
    • 5.11.0-3
    Затронутые диапазоны версий
    • ECOSYSTEM: < 5.13.0-1

    Обновитесь до 5.13.0-1

  • ujson PyPI

    Версии
    • 1.15
    • 1.18
    • 1.19
    • 1.21
    • 1.22
    • 1.23
    • 1.30
    • 1.33
    • 1.34
    • 1.35
    • 1.4
    • 1.6
    • 1.8
    • 1.9
    • 2.0.0
    • 2.0.1
    • 2.0.2
    • 2.0.3
    • 3.0.0
    • 3.1.0
    • 3.2.0
    • 4.0.0
    • 4.0.1
    • 4.0.2
    • 4.1.0
    • 4.2.0
    • 4.3.0
    • 5.0.0
    • 5.1.0
    • 5.10.0
    • 5.11.0
    • 5.12.0
    • 5.12.1
    • 5.2.0
    • 5.3.0
    • 5.4.0
    • 5.5.0
    • 5.6.0
    • 5.7.0
    • 5.8.0
    • 5.9.0
    Затронутые диапазоны версий
    • ECOSYSTEM: < 5.13.0

    Обновитесь до 5.13.0

  • pandas Ubuntu:14.04:LTS

    Версии
    • 0.12.0-2ubuntu1
    • 0.13.1-2ubuntu1
    • 0.13.1-2ubuntu2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • collada2gltf Ubuntu:16.04:LTS

    Версии
    • 20140924-3
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • pandas Ubuntu:16.04:LTS

    Версии
    • 0.15.0-2
    • 0.15.0-2ubuntu1
    • 0.15.0-2ubuntu2
    • 0.17.1-3ubuntu2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • ujson Ubuntu:Pro:16.04:LTS

    Версии
    • 1.33-1
    • 1.33-1build1
    • 1.33-1ubuntu0.1~esm2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • collada2gltf Ubuntu:18.04:LTS

    Версии
    • 20140924-4
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • pandas Ubuntu:18.04:LTS

    Версии
    • 0.19.2-5.1ubuntu4
    • 0.22.0-2ubuntu1
    • 0.22.0-3
    • 0.22.0-4
    • 0.22.0-4ubuntu1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • ujson Ubuntu:Pro:18.04:LTS

    Версии
    • 1.35-1build2
    • 1.35-2
    • 1.35-2ubuntu0.1~esm1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • pandas Ubuntu:20.04:LTS

    Версии
    • 0.23.3+dfsg-4ubuntu1
    • 0.23.3+dfsg-4ubuntu5
    • 0.23.3+dfsg-4ubuntu6
    • 0.25.3+dfsg-4
    • 0.25.3+dfsg-4build1
    • 0.25.3+dfsg-7
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • ujson Ubuntu:Pro:20.04:LTS

    Версии
    • 1.35-3build1
    • 1.35-3build2
    • 1.35-4
    • 1.35-4build1
    • 1.35-4ubuntu0.1
    • 1.35-4ubuntu0.1+esm1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • collada2gltf Ubuntu:22.04:LTS

    Версии
    • 20140924-7build1
    • 20140924-8
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • pandas Ubuntu:22.04:LTS

    Версии
    • 1.1.5+dfsg-2
    • 1.1.5+dfsg-2ubuntu1
    • 1.3.5+dfsg-2
    • 1.3.5+dfsg-2ubuntu1
    • 1.3.5+dfsg-3
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • ujson Ubuntu:Pro:22.04:LTS

    Версии
    • 4.0.2-1
    • 4.0.2-1build1
    • 4.2.0-1
    • 5.1.0-1
    • 5.1.0-1build1
    • 5.1.0-1ubuntu0.1~esm1
    • 5.1.0-1ubuntu0.1~esm2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • pandas Ubuntu:24.04:LTS

    Версии
    • 1.5.3+dfsg-6
    • 1.5.3+dfsg-6ubuntu1
    • 1.5.3+dfsg-7ubuntu1
    • 1.5.3+dfsg-10
    • 2.1.4+dfsg-4ubuntu2
    • 2.1.4+dfsg-7
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • ujson Ubuntu:Pro:24.04:LTS

    Версии
    • 5.8.0-1
    • 5.8.0-1build1
    • 5.9.0-1
    • 5.9.0-1build1
    • 5.9.0-1ubuntu0.1~esm1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • pandas Ubuntu:25.10

    Версии
    • 2.2.3+dfsg-8build1
    • 2.2.3+dfsg-9
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • ujson Ubuntu:25.10

    Версии
    • 5.10.0-1build2
    • 5.10.0-1ubuntu0.1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • pandas Ubuntu:26.10

    Версии
    • 2.3.3+dfsg-3ubuntu1
    • 2.3.3+dfsg-3ubuntu3
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • ujson Ubuntu:26.10

    Версии
    • 5.11.0-3build1
    • 5.13.0-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • pandas Ubuntu:26.04:LTS

    Версии
    • 2.2.3+dfsg-9
    • 2.3.3+dfsg-1ubuntu1
    • 2.3.3+dfsg-3
    • 2.3.3+dfsg-3ubuntu1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →