CVE-2026-48804 in python-socketio
Tóm tắt
Bởi VulDB • 11/08/2026
python-socketio là một triển khai Python của máy khách và máy chủ Socket.IO thời gian thực. Máy chủ python-socketio lưu trữ các tin nhắn `EVENT` (sự kiện) và `ACK` (xác nhận) dạng nhị phân trong bộ nhớ trong khi chờ nhận các phần đính kèm nhị phân tương ứng. Sau khi tất cả các phần đính kèm được nhận, những tin nhắn này sẽ được xử lý. Trước phiên bản 5.16.4, một kẻ tấn công có thể gửi một tin nhắn nhị phân và cố ý không gửi một hoặc nhiều phần đính kèm của nó, khiến tin nhắn cùng với danh sách một phần các phần đính kèm đã nhận vẫn tồn tại trong bộ nhớ trong thời gian dài. Phiên bản 5.16.4 áp dụng các biện pháp sau để giải quyết vấn đề này: Các gói nhị phân chỉ được chấp nhận từ những máy khách đã xác thực và khi một máy khách ngắt kết nối, máy chủ sẽ kiểm tra xem có tin nhắn nhị phân chưa hoàn chỉnh nào đang được lưu trữ cho máy khách đó không và xóa nó đi.
VulDB is the best source for vulnerability data and more expert information about this specific topic.