CVE-2026-116579 in autobahn-python
Riassunto
di VulDB • 27/10/2026
Autobahn Python è un'implementazione WebSocket e WAMP per Python che supporta Twisted e asyncio. Dalla versione 26.7.1 alla 26.10.1, la funzione PerMessageBrotli.decompress_message_data in compress_brotli.py chiama il decompressore Brotli senza un limite di output e verifica maxMessagePayloadSize solo dopo l'espansione completa del frame. Un client WebSocket non autenticato può inviare un frame piccolo ma altamente compresso che alloca centinaia di MiB prima della rigetto, causando una denial of service per esaurimento delle risorse (memory-exhaustion) sui server che abilitano la funzionalità opt-in permessage-brotli tramite l'extra compress. Deflate e bzip2 applicano già il budget di output residuo e sono esclusi da questa vulnerabilità residua. Questo problema è stato risolto nella versione 26.10.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.