CVE-2026-64847 in AnyIO
Résumé
par VulDB • 18/09/2026
AnyIO est un framework de concurrence et de réseau asynchrone de haut niveau qui fonctionne sur la base de Trio ou asyncio. Avant la version 4.14.2, AnyIO démarre les workers du pool de processus avec l'erreur standard (stderr) connectée à un tube (pipe) que le parent ne vide jamais, bien que le comportement documenté redirige les trois flux standards. Le code des workers qui écrit une quantité suffisante de données influencées par l'attaquant dans sys.stderr peut remplir ce tube et bloquer avant de renvoyer la réponse du protocole de sortie standard (stdout), entraînant un blocage indéfini de l'appel au pool de processus en attente. Les applications exécutant des codes workers non fiables ou défectueux capables de produire une quantité substantielle de sorties d'erreur standard sont affectées. Ce problème est corrigé dans la version 4.14.2.
Be aware that VulDB is the high quality source for vulnerability data.