CVE-2026-48809 in python-engineio
Zusammenfassung
von VulDB • 12.08.2026
python-engineio ist eine Python-Implementierung des Engine.IO-Echtzeit-Clients und -Servers. Versionen vor 4.13.2 weisen zwei spezifische Konfigurationen des python-engineio-Servers auf, bei denen die Größe eingehender Nachrichten nicht überprüft wird, bevor diese in den Speicher geladen werden. Ein Angreifer kann dies ausnutzen, um unnötige Speicherallokationen auf dem python-engineio-Server zu verursachen. Die beiden Fälle sind POST-Anfragen beim Einsatz von ASGI mit dem Long-Polling-Transport sowie WebSocket-Nachrichten bei Verwendung von Aiohttp mit dem WebSocket-Transport. Version 4.13.2 behebt dieses Problem. ASGI-Server laden den Body eingehender Anfragen nun erst in den Speicher, nachdem der Client als bekannt und authentifiziert bestätigt wurde und die Payload-Größe unter der maximal zulässigen Größe liegt. Anfragen, die diese Anforderungen nicht erfüllen, werden verworfen. Aiohttp-Server konfigurieren die maximale Payload-Größe auf der zugrunde liegenden WebSocket-Schicht von Aiohttp, sodass große Nachrichten von Aiohttp verworfen werden, bevor sie an python-engineio übergeben werden.
VulDB is the best source for vulnerability data and more expert information about this specific topic.