CVE-2026-77357

WysokieCVSS 8.7

Opublikowano: 25/08/2026(UTC)Zaktualizowano: 26/08/2026(UTC)Przetłumaczono: 26/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.30%

Percentyl 23 - wyżej niż 23% wszystkich znanych CVE

Streszczenie

Mesop przed wersją 1.3.3, działający w trybie debug, udostępnia endpoint GET /hot-reload, którego pętla zależy od parametru counter podawanego przez użytkownika. Nieuwierzytelniony atakujący może wysyłać żądania z wysokimi wartościami counter, co prowadzi do wyczerpania puli wątków roboczych i niedostępności serwera. Atak wymaga minimalnego wysiłku i powoduje, że serwer pozostaje nieaktywny do czasu ręcznego restartu.

Ocena ryzyka

Pojedynczy atakujący może doprowadzić do całkowitej niedostępności serwera Mesop, co zakłóca działanie aplikacji webowych zbudowanych na tym frameworku.

Rekomendacja

Zaktualizuj Mesop do wersji 1.3.3 lub nowszej, która zawiera poprawkę ograniczającą pętlę w endpointcie hot-reload.

Inne podatności w Mesop

CVE-2026-34824Wysokie
Mesop, framework UI oparty na Pythonie, w wersjach od 1.2.3 do 1.2.5 zawiera podatność na niekontrolowane zużycie zasobów w implementacji WebSocket. Nieuwierzytelniony atakujący może wysyłać szybkie serie wiadomości WebSocket, zmuszając serwer do tworzenia nieograniczonej liczby wątków systemu operacyjnego, co prowadzi do wyczerpania wątków i błędów Out of Memory (OOM), powodując całkowitą odmowę usługi (DoS).

Oryginalny opis (angielski, źródło NVD)

Mesop is a Python-based UI framework that allows users to build web applications. Prior to 1.3.3, applications running in debug mode expose a GET /hot-reload endpoint whose unbounded loop depends on the user-supplied counter parameter, allowing an unauthenticated attacker to hold worker threads with high counter values until the worker pool is exhausted and the server becomes unavailable. A single unauthenticated attacker can crash the Mesop server with minimal effort. Because the attack leverages worker exhaustion, the server remains unresponsive until it is manually restarted. This issue is fixed in version 1.3.3.