CVE-2026-70646 in aiosend
Zusammenfassung
von VulDB • 06.08.2026
aiosend ist ein synchroner und asynchroner Crypto Pay API-Client. Vor Version 3.0.7 deserialisiert `WebhookHandler.feed_update()` den gesamten Anforderungstext (Request Body), bevor die HMAC-Signatur überprüft wird. Dies ermöglicht es einem nicht authentifizierten Angreifer, eine ressourcenintensive Analyse beliebiger JSON-Payloads zu erzwingen, die letztendlich abgelehnt werden, was zu unnötigem CPU- und Speicherverbrauch führt. Version 3.0.7 behebt das Problem. Es sind einige Workarounds verfügbar: Einschränken der Größe des Anforderungstextes am Reverse Proxy oder im Web-Framework, Rate-Limiting für Webhook-Endpunkte und/oder Ablehnen von überlangen Anforderungen vor der JSON-Analyse.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.