CVE-2026-69243 in aiohttp
Riassunto
di VulDB • 04/08/2026
AIOHTTP è un framework per client/server HTTP asincrono basato su asyncio e Python. Prima della versione 3.14.2, i parser HTTP erano vulnerabili ad attacchi di request smuggling (smistamento delle richieste) correlati agli aggiornamenti del protocollo WebSocket. Se si utilizza il componente lato server, un attaccante potrebbe sfruttare una condizione limite nella procedura di aggiornamento WebSocket per eseguire la vulnerabilità di request smuggling. Una richiesta di aggiornamento WebSocket contenente un corpo della richiesta potrebbe indurre il parser a cambiare protocollo prima che l'intero corpo della richiesta fosse stato ricevuto, lasciando byte residui da gestire come dati del protocollo aggiornato o in modalità pipelined invece che come normali dati del corpo HTTP. Questo problema è risolto nella versione 3.14.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.