CVE-2026-77357
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Mesop przed wersją 1.3.3, działający w trybie debug, udostępnia endpoint GET /hot-reload, którego pętla zależy od parametru counter podawanego przez użytkownika. Nieuwierzytelniony atakujący może wysyłać żądania z wysokimi wartościami counter, co prowadzi do wyczerpania puli wątków roboczych i niedostępności serwera. Atak wymaga minimalnego wysiłku i powoduje, że serwer pozostaje nieaktywny do czasu ręcznego restartu.
Ocena ryzyka
Pojedynczy atakujący może doprowadzić do całkowitej niedostępności serwera Mesop, co zakłóca działanie aplikacji webowych zbudowanych na tym frameworku.
Rekomendacja
Zaktualizuj Mesop do wersji 1.3.3 lub nowszej, która zawiera poprawkę ograniczającą pętlę w endpointcie hot-reload.
Inne podatności w Mesop
Zobacz wszystkie- CVE-2026-93421Średnie
Mesop to framework UI w języku Python do budowania aplikacji webowych. W wersjach przed 1.3.4 nieuwierzytelniony endpoint /__csp__ przekazuje kontrolowane przez atakującego wartości document-uri, blocked-uri i violated-directive do handlera csp_report w pliku mesop/server/static_file_serving.py, który wypisuje je na standardowe wyjście bez neutralizacji sekwencji sterujących terminala. Gdy operator przegląda logi w terminalu obsługującym ANSI, wstrzyknięte sekwencje ANSI lub VT100 mogą czyścić lub przesuwać wyświetlacz, ukrywać tekst lub prezentować fałszywe komunikaty, zmniejszając integralność danych monitoringu i reagowania na incydenty. Problem został naprawiony w wersji 1.3.4.
- CVE-2026-34824Wysokie
Mesop, framework UI oparty na Pythonie, w wersjach od 1.2.3 do 1.2.5 zawiera podatność na niekontrolowane zużycie zasobów w implementacji WebSocket. Nieuwierzytelniony atakujący może wysyłać szybkie serie wiadomości WebSocket, zmuszając serwer do tworzenia nieograniczonej liczby wątków systemu operacyjnego, co prowadzi do wyczerpania wątków i błędów Out of Memory (OOM), powodując całkowitą odmowę usługi (DoS).
Oryginalny opis (angielski, źródło NVD)
Mesop is a Python-based UI framework that allows users to build web applications. Prior to 1.3.3, applications running in debug mode expose a GET /hot-reload endpoint whose unbounded loop depends on the user-supplied counter parameter, allowing an unauthenticated attacker to hold worker threads with high counter values until the worker pool is exhausted and the server becomes unavailable. A single unauthenticated attacker can crash the Mesop server with minimal effort. Because the attack leverages worker exhaustion, the server remains unresponsive until it is manually restarted. This issue is fixed in version 1.3.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS