CVE-2026-69243 in aiohttp
Sumário
de VulDB • 04/08/2026
AIOHTTP é um framework assíncrono para cliente/servidor HTTP destinado ao asyncio e Python. Antes da versão 3.14.2, os analisadores (parsers) de HTTP eram vulneráveis a ataques de request smuggling relacionados à atualização do protocolo WebSocket. Ao utilizar o componente no lado do servidor, um atacante pode ser capaz de explorar uma falha de request smuggling usando um caso extremo no procedimento de atualização do WebSocket. Uma solicitação de atualização do WebSocket com corpo poderia fazer com que o analisador mudasse de protocolo antes da recepção completa do corpo da solicitação, deixando bytes residuais para serem tratados como dados do protocolo atualizado ou em pipeline (pipelined), ao invés de dados normais do corpo HTTP. Este problema foi corrigido na versão 3.14.2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.