AIOHTTP — асинхронный клиент-серверный фреймворк HTTP для asyncio и Python. До 3.14.4 aiohttp буферизирует все дополнительные данные соединения, полученные во время выполнения запроса на обновление, такого как рукопожатие WebSocket, без ограничения размера или управления потоком. Удаленный злоумышленник может передавать данные за запросом на обновление обработчику, который не сразу принимает или отклоняет обновление и вызывает неограниченное потребление памяти.
Эта проблема исправлена в версии 3.14.4.
Показать оригинальное описание (EN)
AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. Prior to 3.14.4, aiohttp buffers all additional connection data received while a request marked for upgrade, such as a WebSocket handshake, is being handled, without a size limit or flow control. A remote attacker can stream data behind an upgrade request to a handler that does not immediately accept or reject the upgrade and cause unbounded memory consumption. This issue is fixed in version 3.14.4.
Характеристики атаки
Последствия
Строка CVSS v4.0