CVE-2026-48802 in python-engineio
要約
〜によって VulDB • 2026年08月11日
python-engineioは、Engine.IOリアルタイムクライアントおよびサーバーのPython実装です。バージョン4.13.2より前では、攻撃者はハートビートメカニズムを悪用することで、新しい接続を受信したときやクライアントがPONGパケットを送信したときにスレッドを開始するpython-engineioサーバー上で不要なバックグラウンドスレッドの作成を引き起こすことができました。この問題は主に同期型サーバーに影響します。非同期サーバーは物理的なスレッドではなく軽量なバックグラウンドタスクを割り当てるため、サービス拒否（DoS）が発生しにくくなります。ただし、実装された修正は非同期の場合にも適用されました。バージョン4.13.2では以下の方法でこの問題に対処しています：ハートビート管理用の初期バックグラウンドスレッド（またはasyncタスク）は、クライアントが`connect`ハンドラ内で認証を通過した場合にのみ起動されます。また、サーバーは特定の時点で各クライアントに対してバックグラウンドのハートビットスレッド（またはasyncタスク）が1つだけ存在することを保証するようになりました。順序が入れ替わったPONGパケットは、アクティブなハートビッドスレッドがすでに実行されている場合に破棄されるようになりました。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.