CVE-2026-69243
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
AIOHTTP przed wersją 3.14.2 zawiera podatność na przemycanie żądań (request smuggling) związaną z aktualizacją WebSocket. Żądanie aktualizacji WebSocket z ciałem może spowodować przełączenie protokołów przed otrzymaniem pełnego ciała żądania, pozostawiając końcowe bajty do obsłużenia jako dane protokołu uaktualnionego lub potokowane, a nie normalne dane HTTP.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do przemycania żądań, co może prowadzić do ominięcia zabezpieczeń, przechwycenia sesji lub wykonania nieautoryzowanych działań na serwerze.
Rekomendacja
Należy zaktualizować AIOHTTP do wersji 3.14.2 lub nowszej, która usuwa tę podatność.
Inne podatności w AIOHTTP
Zobacz wszystkie- CVE-2025-69228Wysokie
AIOHTTP, framework HTTP dla asyncio i Pythona, w wersjach 3.13.2 i niższych zawiera podatność umożliwiającą niekontrolowane zapełnienie pamięci serwera podczas przetwarzania specjalnie spreparowanego żądania. Jeśli aplikacja używa metody Request.post() w handlerze, atakujący może zamrozić serwer poprzez wyczerpanie pamięci. Problem został naprawiony w wersji 3.13.3.
- CVE-2025-69227Wysokie
AIOHTTP w wersjach 3.13.2 i niższych zawiera podatność na nieskończoną pętlę, gdy asercje są pomijane (np. przy użyciu optymalizacji -O lub PYTHONOPTIMIZE=1). Atakujący może wykorzystać specjalnie spreparowaną wiadomość POST, aby wywołać atak DoS, jeśli aplikacja używa metody Request.post(). Problem został naprawiony w wersji 3.13.3.
- CVE-2026-69244Wysokie
AIOHTTP, asynchroniczny framework HTTP dla Pythona, przed wersją 3.14.3, zawiera podatność na odczyt poza zakresem sterty w parserze odpowiedzi C. Podczas budowania komunikatu błędu dla nieprawidłowej odpowiedzi, może dojść do odczytu poza zakresem, co może prowadzić do DoS w kliencie. Problem naprawiono w wersji 3.14.3.
- CVE-2026-59881Średnie
AIOHTTP przed 3.14.2 w kliencie WebSocket akceptuje i dekompresuje ramki z ustawionym bitem RSV1 nawet bez negocjacji rozszerzenia permessage-deflate. Złośliwy serwer może spowodować nieoczekiwane zużycie CPU i pamięci.
- CVE-2026-54277Wysokie
W bibliotece AIOHTTP przed wersją 3.14.1 wykryto podatność umożliwiającą ominięcie ograniczenia długości linii w żądaniach HTTP podczas korzystania z optymalizowanego parsera C. Atakujący może wysłać nadmiernie długie linie, co prowadzi do nadmiernego zużycia pamięci i potencjalnie do ataku typu DoS.
- CVE-2026-54276Średnie
W bibliotece AIOHTTP przed wersją 3.14.1 wykryto podatność, w której DigestAuthMiddleware może wysłać odpowiedź uwierzytelniającą po przekierowaniu między domenami. Atak wymaga podatności na otwarte przekierowanie w domenie docelowej, a atakujący może przechwycić jedynie skrót uwierzytelniający, co umożliwia kradzież poświadczeń tylko przy słabej kryptografii lub ponownym użyciu haseł.
- CVE-2026-47265Wysokie
W AIOHTTP przed wersją 3.14.0, ciasteczka ustawione parametrem `cookies` w żądaniu są wysyłane po przekierowaniu między domenami (cross-origin). Jeśli programista używa parametru `cookies` dla poszczególnych żądań, wrażliwe dane mogą wyciec do atakującego kontrolującego przekierowanie.
- CVE-2026-34993Średnie
AIOHTTP, asynchroniczny framework HTTP dla Pythona, przed wersją 3.14.0 zawiera podatność w funkcji CookieJar.load() umożliwiającą wykonanie dowolnego kodu przy użyciu niezaufanych danych wejściowych. Większość aplikacji używa tej funkcji z własnymi danymi, więc ryzyko jest niskie, ale w przypadku ładowania plików kontrolowanych przez atakującego może dojść do zdalnego wykonania kodu.
- CVE-2025-69223Wysokie
Podatność w frameworku AIOHTTP w wersjach 3.13.2 i niższych umożliwia atak typu zip bomb, który po dekompresji może doprowadzić do wyczerpania pamięci hosta i wykonania ataku DoS.
- CVE-2023-49081Wysokie
Podatność w aiohttp pozwala atakującemu na modyfikację żądania HTTP lub stworzenie nowego żądania, jeśli kontroluje wersję HTTP. Problem ten występuje tylko w przypadku, gdy atakujący ma możliwość kontrolowania wersji HTTP żądania.
Oryginalny opis (angielski, źródło NVD)
AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. Prior to 3.14.2, the HTTP parsers were vulnerable to a request smuggling attack relating to WebSocket upgrades. If using the server-side component, an attacker may be able to execute a request smuggling vulnerability using an edge case in the WebSocket upgrade procedure. A WebSocket upgrade request with a body could cause the parser to switch protocols before the complete request body was received, leaving trailing bytes to be handled as upgraded-protocol or pipelined data rather than normal HTTP body data. This issue is fixed in version 3.14.2.