CVE-2026-48804
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
python-socketio to implementacja klienta i serwera Socket.IO w Pythonie. Serwer python-socketio przechowuje binarne wiadomości `EVENT` i `ACK` w pamięci, czekając na ich binarne załączniki. Przed wersją 5.16.4 atakujący może przesłać binarną wiadomość i celowo pominąć wysłanie jednego lub więcej załączników, co powoduje, że wiadomość wraz z częściową listą otrzymanych załączników pozostaje w pamięci przez długi czas. Wersja 5.16.4 wprowadza środki zaradcze: pakiety binarne są akceptowane tylko od uwierzytelnionych klientów, a po rozłączeniu klienta serwer sprawdza, czy istnieje częściowa wiadomość binarna i usuwa ją.
Ocena ryzyka
Atakujący może spowodować wyczerpanie pamięci serwera, prowadząc do odmowy usługi (DoS) i potencjalnie wpływając na dostępność aplikacji.
Rekomendacja
Zaleca się natychmiastową aktualizację python-socketio do wersji 5.16.4 lub nowszej, aby ograniczyć ryzyko ataków DoS.
Oryginalny opis (angielski, źródło NVD)
python-socketio is a Python implementation of the Socket.IO realtime client and server. The python-socketio server stores binary `EVENT` and `ACK` messages in memory while it waits to receive their binary attachments. Once all the attachments are received, these messages are then processed. Prior to version 5.16.4, an attacker can submit a binary message and intentionally omit sending one or more of its attachments to cause the message along with the partial list of received attachments to stay in memory for a long time. Version 5.16.4 takes the following measures to address this issue: Binary packets are only accepted from authenticated clients and, when a client disconnects, the server checks if there is a partial binary message being held for the client and deletes it.