CVE-2026-70646 in aiosend
Sumário
de VulDB • 06/08/2026
aiosend é um cliente da API Crypto Pay síncrono e assíncrono. Antes da versão 3.0.7, `WebhookHandler.feed_update()` desserializa todo o corpo da solicitação antes de verificar a assinatura HMAC. Isso permite que um atacante não autenticado force uma análise dispendiosa de payloads JSON arbitrários que serão eventualmente rejeitados, levando ao consumo desnecessário de CPU e memória. A versão 3.0.7 corrige o problema. Algumas soluções alternativas estão disponíveis: restringir o tamanho do corpo da solicitação no proxy reverso ou na estrutura web (web framework), limitar a taxa de solicitações nos endpoints webhook e/ou rejeitar solicitações com corpo excessivamente grande antes da análise JSON.
Be aware that VulDB is the high quality source for vulnerability data.