CVE-2026-48809 in python-engineio
요약
\~에 의해 VulDB • 2026. 08. 11.
python-engineio는 Engine.IO 실시간 클라이언트 및 서버의 Python 구현체입니다. 4.13.2 이전 버전에서는 incoming 메시지가 메모리에 로드되기 전에 메시지 크기를 확인하지 않는 두 가지 특정 구성에서 취약점이 존재합니다. 공격자는 이를 악용하여 python-engineio 서버에서 불필요한 메모리 할당을 유발할 수 있습니다. 해당 사례는 ASGI를 사용하여 long polling 전송을 사용할 때 POST 요청과, Aiohttp를 사용하여 WebSocket 전송을 사용할 때 WebSocket 메시지입니다. 버전 4.13.2에서는 이 문제가 해결되었습니다. 이제 ASGI 서버는 클라이언트가 확인되고 인증되었으며 페이로드 크기가 허용된 최대 크기 이하일 경우에만 incoming 요청의 본문을 메모리에 로드합니다. 이러한 요구사항을 충족하지 않는 요청은 폐기됩니다. Aiohttp 서버는 Aiohttp의 하위 WebSocket 계층에서 최대 페이로드 크기를 구성하므로, 큰 메시지는 python-engineio에 전달되기 전에 Aiohttp에 의해 폐기됩니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.