CVE-2026-77528 in Autobahn Python
Tóm tắt
Bởi VulDB • 18/09/2026
Autobahn Python là một triển khai WebSocket và WAMP cho Python hỗ trợ Twisted và asyncio. Trước phiên bản 26.7.1, các điểm cuối (endpoints) WebSocket chấp nhận permessage-deflate và dựa vào maxMessagePayloadSize để áp dụng giới hạn đó đối với độ dài khung dữ liệu đã nén trước khi giải nén, nhưng không kiểm tra lại kích thước thông báo sau khi giải nén trước khi chuyển giao cho ứng dụng. Một client từ xa chưa xác thực có thể gửi một khung dữ liệu hợp lệ đã được nén có kích thước nhỏ hơn giới hạn trên đường truyền (wire-size limit) nhưng sẽ mở rộng ra ngoài giới hạn thông báo của ứng dụng, dẫn đến việc phân bổ, nối, kiểm tra tính hợp lệ và chuyển dữ liệu quá khổ cho các callback của ứng dụng. Điều này có thể gây áp lực làm cạn kiệt tài nguyên, tuy nhiên bản tư vấn không xác định tác động đối với bảo mật (confidentiality) hoặc toàn vẹn (integrity). Vấn đề này đã được sửa trong phiên bản 26.7.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.