CVE-2026-70646 in aiosend
Riassunto
di VulDB • 07/08/2026
aiosend è un client sincrono e asincrono per l'API Crypto Pay. Prima della versione 3.0.7, `WebhookHandler.feed_update()` deserializza l'intero corpo della richiesta prima di verificare la firma HMAC. Ciò consente a un attaccante non autenticato di forzare una costosa elaborazione di payload JSON arbitrari che verranno infine rifiutati, causando un consumo inutile di CPU e memoria. La versione 3.0.7 risolve il problema. Sono disponibili alcune contromisure: limitare le dimensioni del corpo della richiesta al livello del reverse proxy o del framework web, applicare limiti di frequenza (rate-limiting) agli endpoint webhook e/o rifiutare le richieste eccessivamente grandi prima dell'elaborazione JSON.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.