CVE-2026-111066

W aiohttp wykryto wiele przypadków nadmiernego lub nieograniczonego zużycia pamięci oraz nadmiernego zużycia CPU przy żądaniach kontrolowanych przez atakującego. Atakujący może wywołać wyczerpanie zasobów za pomocą specjalnie spreparowanych żądań.

W bibliotece aiohttp w wersjach przed 3.14.4 czysty parser Pythona akceptuje niejednoznaczne ramkowanie żądań HTTP. Nieuwierzytelniony atakujący może przemycić żądania, gdy aplikacja działa bez standardowego wheel (np. z AIOHTTP_NO_EXTENSIONS), a pośrednik interpretuje ramkowanie inaczej.

W AIOHTTP przed wersją 3.14.4 subdomena może usunąć zakres Host-Only z istniejącego pliku cookie domeny nadrzędnej. Użytkownik odwiedzający niezaufaną subdomenę może utracić ochronę Host-Only dla plików cookie.

W aiohttp przed 3.14.4 atakujący może wysłać żądanie w formie absolutnej, powodując, że Request.scheme użyje danych schematu z żądania kontrolowanych przez atakującego zamiast protokołu połączenia. Aplikacje używające Request.scheme do decyzji bezpieczeństwa mogą zostać oszukane co do szyfrowania połączenia.

W aiohttp przed 3.14.4 przetwarzanie Max-Age może spowodować przepełnienie i pominięcie zamknięcia połączenia. Atakujący może tymczasowo wyczerpać pulę połączeń, dopóki garbage collection nie rozwiąże problemu.

AIOHTTP to asynchroniczny framework HTTP dla asyncio i Pythona. Przed wersją 3.14.4 obsługa limitu czasu keepalive jest nieobecna w początkowej części żądania. Atakujący może utrzymywać bezczynne połączenie otwarte bezterminowo przed wysłaniem jakichkolwiek danych żądania, zużywając pojemność połączeń serwera. Problem naprawiono w wersji 3.14.4.

W aiohttp przed 3.14.4 atrybut Secure dla współdzielonego pliku cookie nie jest wymuszany. Atakujący może spowodować, że współdzielony plik cookie oznaczony jako Secure zostanie wysłany z niezaszyfrowanym żądaniem.

AIOHTTP, asynchroniczny framework HTTP dla Pythona, przed wersją 3.14.3, zawiera podatność na odczyt poza zakresem sterty w parserze odpowiedzi C. Podczas budowania komunikatu błędu dla nieprawidłowej odpowiedzi, może dojść do odczytu poza zakresem, co może prowadzić do DoS w kliencie. Problem naprawiono w wersji 3.14.3.

AIOHTTP przed wersją 3.14.2 zawiera podatność na przemycanie żądań (request smuggling) związaną z aktualizacją WebSocket. Żądanie aktualizacji WebSocket z ciałem może spowodować przełączenie protokołów przed otrzymaniem pełnego ciała żądania, pozostawiając końcowe bajty do obsłużenia jako dane protokołu uaktualnionego lub potokowane, a nie normalne dane HTTP.

AIOHTTP przed 3.14.2 w kliencie WebSocket akceptuje i dekompresuje ramki z ustawionym bitem RSV1 nawet bez negocjacji rozszerzenia permessage-deflate. Złośliwy serwer może spowodować nieoczekiwane zużycie CPU i pamięci.