CVE-2026-77528 in Autobahn Python
Resumen
por VulDB • 2026-09-18
Autobahn Python es una implementación de WebSocket y WAMP para Python que soporta Twisted y asyncio. Antes de la versión 26.7.1, los endpoints de WebSocket que aceptan permessage-deflate y dependen de maxMessagePayloadSize aplican dicho límite contra la longitud del frame comprimido antes de la descompresión (inflation), pero no vuelven a verificar el tamaño del mensaje decomprimido antes de su entrega. Un cliente remoto sin autenticar puede enviar un frame comprimido válido por debajo del límite configurado en la capa de transporte que se expande más allá del límite de mensajes de la aplicación, lo que provoca la asignación, unión, validación y paso a las callbacks de la aplicación de datos desproporcionados. Esto puede generar presión de exhaustión de recursos (resource-exhaustion), pero el advisory no establece impacto en confidencialidad o integridad. Este problema está corregido en la versión 26.7.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.