CVE-2026-47265

AIOHTTP, framework HTTP dla asyncio i Pythona, w wersjach 3.13.2 i niższych zawiera podatność umożliwiającą niekontrolowane zapełnienie pamięci serwera podczas przetwarzania specjalnie spreparowanego żądania. Jeśli aplikacja używa metody Request.post() w handlerze, atakujący może zamrozić serwer poprzez wyczerpanie pamięci. Problem został naprawiony w wersji 3.13.3.

AIOHTTP w wersjach 3.13.2 i niższych zawiera podatność na nieskończoną pętlę, gdy asercje są pomijane (np. przy użyciu optymalizacji -O lub PYTHONOPTIMIZE=1). Atakujący może wykorzystać specjalnie spreparowaną wiadomość POST, aby wywołać atak DoS, jeśli aplikacja używa metody Request.post(). Problem został naprawiony w wersji 3.13.3.

AIOHTTP, asynchroniczny framework HTTP dla Pythona, przed wersją 3.14.3, zawiera podatność na odczyt poza zakresem sterty w parserze odpowiedzi C. Podczas budowania komunikatu błędu dla nieprawidłowej odpowiedzi, może dojść do odczytu poza zakresem, co może prowadzić do DoS w kliencie. Problem naprawiono w wersji 3.14.3.

AIOHTTP przed wersją 3.14.2 zawiera podatność na przemycanie żądań (request smuggling) związaną z aktualizacją WebSocket. Żądanie aktualizacji WebSocket z ciałem może spowodować przełączenie protokołów przed otrzymaniem pełnego ciała żądania, pozostawiając końcowe bajty do obsłużenia jako dane protokołu uaktualnionego lub potokowane, a nie normalne dane HTTP.

AIOHTTP przed 3.14.2 w kliencie WebSocket akceptuje i dekompresuje ramki z ustawionym bitem RSV1 nawet bez negocjacji rozszerzenia permessage-deflate. Złośliwy serwer może spowodować nieoczekiwane zużycie CPU i pamięci.

W bibliotece AIOHTTP przed wersją 3.14.1 wykryto podatność umożliwiającą ominięcie ograniczenia długości linii w żądaniach HTTP podczas korzystania z optymalizowanego parsera C. Atakujący może wysłać nadmiernie długie linie, co prowadzi do nadmiernego zużycia pamięci i potencjalnie do ataku typu DoS.

W bibliotece AIOHTTP przed wersją 3.14.1 wykryto podatność, w której DigestAuthMiddleware może wysłać odpowiedź uwierzytelniającą po przekierowaniu między domenami. Atak wymaga podatności na otwarte przekierowanie w domenie docelowej, a atakujący może przechwycić jedynie skrót uwierzytelniający, co umożliwia kradzież poświadczeń tylko przy słabej kryptografii lub ponownym użyciu haseł.

AIOHTTP, asynchroniczny framework HTTP dla Pythona, przed wersją 3.14.0 zawiera podatność w funkcji CookieJar.load() umożliwiającą wykonanie dowolnego kodu przy użyciu niezaufanych danych wejściowych. Większość aplikacji używa tej funkcji z własnymi danymi, więc ryzyko jest niskie, ale w przypadku ładowania plików kontrolowanych przez atakującego może dojść do zdalnego wykonania kodu.

Podatność w frameworku AIOHTTP w wersjach 3.13.2 i niższych umożliwia atak typu zip bomb, który po dekompresji może doprowadzić do wyczerpania pamięci hosta i wykonania ataku DoS.

Podatność w aiohttp pozwala atakującemu na modyfikację żądania HTTP lub stworzenie nowego żądania, jeśli kontroluje wersję HTTP. Problem ten występuje tylko w przypadku, gdy atakujący ma możliwość kontrolowania wersji HTTP żądania.