whatstk: Unbegrenzte Dekomprimierung im ZIP-Loader führt zu Speicher- und Festplattenerschöpfung
Zusammenfassung
whatstk, eine Python-Bibliothek zum Auswerten von WhatsApp-Chatexporten, begrenzt nicht, wie viele Daten ihr ZIP-Loader entpackt. Eine Partei, die einen präparierten Chatexport liefert, kann mit einer kleinen ZIP-Datei den Speicher und die Festplatte des Prozesses erschöpfen, der sie verarbeitet, wodurch der Prozess beendet werden kann. Betroffen sind nur Anwendungen, die nicht vertrauenswürdige ZIP-Exporte an die Bibliothek übergeben, zum Beispiel über einen Web-Upload.
Betroffen
- whatstk 0.7.0 bis und mit 0.8.x (vor 0.9.0)
- Versionen ab 0.9.0 sind nicht betroffen
Behoben in
- Behoben in whatstk 0.9.0
- Die Korrektur liest Archivmitglieder direkt, ohne sie auf die Festplatte zu entpacken, prüft zuerst die Anzahl der Mitglieder und wendet standardmässig eine Grössenbegrenzung von 50 MB an, die mit dem Argument max_size angepasst werden kann
Umgehung
- Keine vollständige Umgehungsmassnahme ausser dem Upgrade
- Keine nicht vertrauenswürdigen ZIP-Exporte an df_from_whatsapp() oder WhatsAppChat.from_source() übergeben
- Nur Klartext-Exporte akzeptieren oder ZIP-Dateien in einer grössenbegrenzten Umgebung entpacken
- Parsing-Jobs mit Speicher- und Festplattenlimiten betreiben, zum Beispiel in einem Container
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn
- Auf Sploitus existiert ein Proof-of-Concept-Eintrag, dessen Inhalt jedoch nicht verifiziert werden konnte
- Kein Eintrag im Katalog der CISA Known Exploited Vulnerabilities gefunden
Unsere Empfehlung
- Prüfen, ob interne Tools oder Webanwendungen whatstk zur Verarbeitung von WhatsApp-Exporten einsetzen
- whatstk auf Version 0.9.0 oder neuer aktualisieren
- Bis zum Update keine ZIP-Uploads für die Chat-Verarbeitung akzeptieren
- Falls Upload-Dienste weiter genutzt werden, max_size tiefer als den Standardwert setzen
- Speicher und Festplatte für Parsing-Jobs begrenzen und auf Prozessabstürze überwachen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Fix commit 01d66d8 (lucasrodes/whatstk) github.com
- Pull Request #182 (lucasrodes/whatstk) github.com
- Release v0.9.0 (lucasrodes/whatstk) github.com
- Secur0 CNA advisory for CVE-2026-121691 secur0.com
- Strix CVE overview CVE-2026-121691 www.strix.ai
- whatstk on PyPI 0.9.0 pypi.org
- whatstk GitHub repository github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 11:36.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.