Podatności AnyIO
3 znanych podatności CVE w AnyIO, przetłumaczonych i ocenionych.
- CVE-2026-63349Wysokie
W bibliotece AnyIO w wersji 4.14.0 funkcja open_process() przekazuje argument group do backendu zamiast extra_groups, mimo że akceptuje parametr extra_groups. Wywołanie z extra_groups=[] w celu wyczyszczenia odziedziczonych grup dodatkowych może uruchomić proces potomny zachowujący grupy procesu nadrzędnego, osłabiając granicę obniżania uprawnień. Podatność dotyczy aplikacji POSIX korzystających z pomocników podprocesów AnyIO i jest naprawiona w wersji 4.14.2.
- CVE-2026-63374Krytyczne
Usługi korzystające z międzynarodowych (nie-ASCII) nazw domen mogą być podatne na ataki podczas połączeń TLS nawiązywanych przez funkcję `connect_tcp()` lub bezpośrednio przez `TLSStream.wrap()`. Jeśli połączenie zostanie przechwycone i przekierowane do złośliwego serwera, istnieje ryzyko naruszenia bezpieczeństwa.
- CVE-2026-64847Średnie
W frameworku AnyIO przed wersją 4.14.2 procesy robocze puli procesów były uruchamiane ze standardowym błędem podłączonym do potoku, którego rodzic nigdy nie opróżniał. Kod roboczy zapisujący wystarczającą ilość danych do sys.stderr mógł zapełnić potok i zablokować się przed zwróceniem odpowiedzi, powodując trwałe zablokowanie oczekującego wywołania puli procesów.