CVE-2026-44545

ŚrednieCVSS 5.3

Opublikowano: 03/06/2026(UTC)Zaktualizowano: 22/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.33%

Percentyl 25 - wyżej niż 25% wszystkich znanych CVE

Streszczenie

Daphne przed wersją 4.2.2 nie przekazywał wartości maxFramePayloadSize ani maxMessagePayloadSize do WebSocketServerFactory biblioteki Autobahn. Ponieważ Autobahn domyślnie ustawia obie wartości na 0 (nieograniczone), nieuwierzytelniony zdalny atakujący może wysyłać dowolnie duże ramki lub wiadomości WebSocket, powodując nadmierne zużycie pamięci i odmowę usługi.

Ocena ryzyka

Atak DoS może unieruchomić serwer WebSocket, zakłócając działanie aplikacji czasu rzeczywistego.

Rekomendacja

Zaktualizuj Daphne do wersji 4.2.2 lub nowszej.

Inne podatności w Daphne

CVE-2026-44546Niskie
Daphne przed wersją 4.2.2 rekonstruuje surowe żądanie HTTP z przetworzonych nagłówków Twisted i przekazuje je do autobahn w celu obsługi uzgadniania WebSocket. Twisted nie traktuje znaków \x0b, \x0c, \x1c, \x1d, \x1e ani \x85 jako separatorów linii nagłówka, ale autobahn dekoduje wartości nagłówków do str i wywołuje splitlines(). Atakujący może wykorzystać tę różnicę w parserach do wstrzyknięcia dodatkowych nagłówków do zakresu ASGI przekazywanego do aplikacji. Daphne odrzuca teraz żądania z tymi bajtami w dowolnej wartości nagłówka z odpowiedzią 400.

Oryginalny opis (angielski, źródło NVD)

daphne before 4.2.2 did not pass maxFramePayloadSize or maxMessagePayloadSize to Autobahn's WebSocketServerFactory. Because Autobahn defaults both values to 0 (unlimited), an unauthenticated remote attacker could send arbitrarily large WebSocket messages or frames, causing excessive memory consumption and a denial of service.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS