CVE-2026-34824
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 50 - wyżej niż 50% wszystkich znanych CVE
Streszczenie
Mesop, framework UI oparty na Pythonie, w wersjach od 1.2.3 do 1.2.5 zawiera podatność na niekontrolowane zużycie zasobów w implementacji WebSocket. Nieuwierzytelniony atakujący może wysyłać szybkie serie wiadomości WebSocket, zmuszając serwer do tworzenia nieograniczonej liczby wątków systemu operacyjnego, co prowadzi do wyczerpania wątków i błędów Out of Memory (OOM), powodując całkowitą odmowę usługi (DoS).
Ocena ryzyka
Atakujący może zdalnie spowodować awarię każdej aplikacji zbudowanej na frameworku Mesop, co prowadzi do przerwania działania usługi i potencjalnej utraty danych.
Rekomendacja
Należy zaktualizować Mesop do wersji 1.2.5 lub nowszej, która zawiera poprawkę ograniczającą zużycie zasobów.
Inne podatności w Mesop
Zobacz wszystkie- CVE-2026-93421Średnie
Mesop to framework UI w języku Python do budowania aplikacji webowych. W wersjach przed 1.3.4 nieuwierzytelniony endpoint /__csp__ przekazuje kontrolowane przez atakującego wartości document-uri, blocked-uri i violated-directive do handlera csp_report w pliku mesop/server/static_file_serving.py, który wypisuje je na standardowe wyjście bez neutralizacji sekwencji sterujących terminala. Gdy operator przegląda logi w terminalu obsługującym ANSI, wstrzyknięte sekwencje ANSI lub VT100 mogą czyścić lub przesuwać wyświetlacz, ukrywać tekst lub prezentować fałszywe komunikaty, zmniejszając integralność danych monitoringu i reagowania na incydenty. Problem został naprawiony w wersji 1.3.4.
- CVE-2026-77357Wysokie
Mesop przed wersją 1.3.3, działający w trybie debug, udostępnia endpoint GET /hot-reload, którego pętla zależy od parametru counter podawanego przez użytkownika. Nieuwierzytelniony atakujący może wysyłać żądania z wysokimi wartościami counter, co prowadzi do wyczerpania puli wątków roboczych i niedostępności serwera. Atak wymaga minimalnego wysiłku i powoduje, że serwer pozostaje nieaktywny do czasu ręcznego restartu.
Oryginalny opis (angielski, źródło NVD)
Mesop is a Python-based UI framework that allows users to build web applications. From version 1.2.3 to before version 1.2.5, an uncontrolled resource consumption vulnerability exists in the WebSocket implementation of the Mesop framework. An unauthenticated attacker can send a rapid succession of WebSocket messages, forcing the server to spawn an unbounded number of operating system threads. This leads to thread exhaustion and Out of Memory (OOM) errors, causing a complete Denial of Service (DoS) for any application built on the framework. This issue has been patched in version 1.2.5.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS