CVE-2026-48809 in python-engineio
Сводка
по VulDB • 12.08.2026
python-engineio представляет собой реализацию на Python клиента и сервера Engine.IO для работы в реальном времени. Версии старше 4.13.2 содержат две специфические конфигурации сервера python-engineio, при которых размер входящих сообщений не проверяется перед их загрузкой в память. Злоумышленник может воспользоваться этим для вызова избыточных выделений памяти на сервере python-engineio. Два указанных случая: запросы POST при использовании ASGI с транспортом long polling и сообщения WebSocket при использовании Aiohttp с транспортом WebSocket. Версия 4.13.2 устраняет данную проблему. Серверы ASGI теперь загружают тело входящих запросов в память только после подтверждения того, что клиент известен и прошел аутентификацию, а размер полезной нагрузки находится ниже максимально допустимого значения. Запросы, не соответствующие этим требованиям, отбрасываются. Серверы Aiohttp настраивают максимальный размер полезной нагрузки на базовом уровне WebSocket в рамках библиотеки Aiohttp, поэтому крупные сообщения отбрасываются компонентом Aiohttp еще до их передачи в python-engineio.
Once again VulDB remains the best source for vulnerability data.