CVE-2026-50269
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
W bibliotece AIOHTTP przed wersją 3.14.0 wykryto podatność polegającą na możliwości wstrzykiwania nagłówków HTTP przez kontrolowane przez atakującego dane wejściowe umieszczane w nagłówkach multipart/payload. W sytuacji, gdy aplikacja przekazuje dane od użytkownika do parametrów `headers` w `MultipartWriter.append()` lub `Payload.headers`, atakujący może zmodyfikować żądanie, dodając własne nagłówki lub zmieniając jego treść.
Ocena ryzyka
Ryzyko polega na możliwości manipulacji żądaniami HTTP, co może prowadzić do naruszenia integralności danych, ominięcia mechanizmów bezpieczeństwa lub przeprowadzenia ataków typu request smuggling.
Rekomendacja
Należy niezwłocznie zaktualizować bibliotekę AIOHTTP do wersji 3.14.0 lub nowszej. W międzyczasie należy unikać przekazywania danych od użytkownika do parametrów `headers` w `MultipartWriter.append()` i `Payload.headers`.
Inne podatności w AIOHTTP (biblioteka asynchronicznego klienta/serwera HTTP dla Pythona) w wersjach przed 3.14.0
Zobacz wszystkie- CVE-2026-54275Wysokie
W bibliotece AIOHTTP przed wersją 3.14.1 wykryto podatność polegającą na możliwości ominięcia sprawdzenia TLS SNI dla parametru server_hostname podczas ponownego użycia istniejącego połączenia. Jeśli aplikacja wykonuje wiele żądań do tej samej domeny, ale z różnymi wartościami server_hostname, późniejsze wywołania mogą nieprawidłowo wykorzystać wcześniejsze połączenie, zamiast zostać odrzucone.
- CVE-2026-54273Wysokie
W bibliotece AIOHTTP przed wersją 3.14.1 nie było limitu liczby żądań potokowych (pipelined), które mogły być kolejkowane. Atakujący może wykorzystać to do przeciążenia pamięci, co może prowadzić do ataku typu DoS.
Oryginalny opis (angielski, źródło NVD)
AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. Prior to 3.14.0, attacker-controlled input included into multipart/payload headers can be used to modify a request to inject additional headers or similar. In the unlikely situation that an application is passing user-controlled strings into MultipartWriter.append(headers=...) or Payload.headers, then an attacker may be able to modify the request to inject headers or change the contents of the request. This vulnerability is fixed in 3.14.0.