CVE-2026-116579 in autobahn-python
요약
\~에 의해 VulDB • 2026. 10. 27.
Autobahn Python은 Twisted와 asyncio를 지원하는 Python용 WebSocket 및 WAMP 구현체입니다. 버전 26.7.1부터 26.10.1까지, compress_brotli.py의 PerMessageBrotli.decompress_message_data는 출력 제한 없이 Brotli 디컴프레서를 호출하며, maxMessagePayloadSize 검사는 완전한 프레임이 팽창된 후에만 수행됩니다. 인증되지 않은 WebSocket 클라이언트는 작은 고압축 프레임을 전송하여 거부되기 전에 수백 MiB를 할당하게 만들며, 이는 compress extra를 통해 opt-in permessage-brotli 기능을 활성화한 서버에서 메모리 고갈로 인한 서비스 거부(Denial of Service)를 유발합니다. Deflate 및 bzip2는 이미 잔여 출력 예산을 강제하므로 이 잔존 취약성 대상이 아닙니다. 본 문제는 버전 26.10.1에서 수정되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.