CVE-2026-54276
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
W bibliotece AIOHTTP przed wersją 3.14.1 wykryto podatność, w której DigestAuthMiddleware może wysłać odpowiedź uwierzytelniającą po przekierowaniu między domenami. Atak wymaga podatności na otwarte przekierowanie w domenie docelowej, a atakujący może przechwycić jedynie skrót uwierzytelniający, co umożliwia kradzież poświadczeń tylko przy słabej kryptografii lub ponownym użyciu haseł.
Ocena ryzyka
Ryzyko polega na możliwości przechwycenia skrótu uwierzytelniającego przez atakującego, co może prowadzić do naruszenia poufności poświadczeń użytkowników, szczególnie w środowiskach ze słabymi algorytmami kryptograficznymi lub ponownym użyciem haseł.
Rekomendacja
Zaleca się natychmiastową aktualizację biblioteki AIOHTTP do wersji 3.14.1 lub nowszej, która zawiera poprawkę eliminującą tę podatność.
Inne podatności w AIOHTTP
Zobacz wszystkie- GHSA-2g87-pp6c-29x5Wysokie
W aiohttp wykryto wiele przypadków nadmiernego lub nieograniczonego zużycia pamięci oraz nadmiernego zużycia CPU przy żądaniach kontrolowanych przez atakującego. Atakujący może wywołać wyczerpanie zasobów za pomocą specjalnie spreparowanych żądań.
- CVE-2026-111750Średnie
W bibliotece aiohttp w wersjach przed 3.14.4 czysty parser Pythona akceptuje niejednoznaczne ramkowanie żądań HTTP. Nieuwierzytelniony atakujący może przemycić żądania, gdy aplikacja działa bez standardowego wheel (np. z AIOHTTP_NO_EXTENSIONS), a pośrednik interpretuje ramkowanie inaczej.
- CVE-2026-111749Niskie
W AIOHTTP przed wersją 3.14.4 subdomena może usunąć zakres Host-Only z istniejącego pliku cookie domeny nadrzędnej. Użytkownik odwiedzający niezaufaną subdomenę może utracić ochronę Host-Only dla plików cookie.
- CVE-2026-111748Średnie
W aiohttp przed 3.14.4 atakujący może wysłać żądanie w formie absolutnej, powodując, że Request.scheme użyje danych schematu z żądania kontrolowanych przez atakującego zamiast protokołu połączenia. Aplikacje używające Request.scheme do decyzji bezpieczeństwa mogą zostać oszukane co do szyfrowania połączenia.
- CVE-2026-111066Wysokie
AIOHTTP to asynchroniczny framework HTTP dla asyncio i Pythona. Od wersji 2.0.0 do 3.14.4 przetwarzanie żądań multipart może utrzymywać nieograniczoną liczbę otwartych deskryptorów plików. Nieuwierzytelniony atakujący może wyczerpać deskryptory plików za pomocą specjalnie spreparowanych żądań multipart, gdy handler używa Request.post(). Problem naprawiono w wersji 3.14.4.
- CVE-2026-111065Średnie
W aiohttp przed 3.14.4 przetwarzanie Max-Age może spowodować przepełnienie i pominięcie zamknięcia połączenia. Atakujący może tymczasowo wyczerpać pulę połączeń, dopóki garbage collection nie rozwiąże problemu.
- CVE-2026-111064Wysokie
AIOHTTP to asynchroniczny framework HTTP dla asyncio i Pythona. Przed wersją 3.14.4 obsługa limitu czasu keepalive jest nieobecna w początkowej części żądania. Atakujący może utrzymywać bezczynne połączenie otwarte bezterminowo przed wysłaniem jakichkolwiek danych żądania, zużywając pojemność połączeń serwera. Problem naprawiono w wersji 3.14.4.
- CVE-2026-111063Średnie
W aiohttp przed 3.14.4 atrybut Secure dla współdzielonego pliku cookie nie jest wymuszany. Atakujący może spowodować, że współdzielony plik cookie oznaczony jako Secure zostanie wysłany z niezaszyfrowanym żądaniem.
- CVE-2026-69244Wysokie
AIOHTTP, asynchroniczny framework HTTP dla Pythona, przed wersją 3.14.3, zawiera podatność na odczyt poza zakresem sterty w parserze odpowiedzi C. Podczas budowania komunikatu błędu dla nieprawidłowej odpowiedzi, może dojść do odczytu poza zakresem, co może prowadzić do DoS w kliencie. Problem naprawiono w wersji 3.14.3.
- CVE-2026-69243Średnie
AIOHTTP przed wersją 3.14.2 zawiera podatność na przemycanie żądań (request smuggling) związaną z aktualizacją WebSocket. Żądanie aktualizacji WebSocket z ciałem może spowodować przełączenie protokołów przed otrzymaniem pełnego ciała żądania, pozostawiając końcowe bajty do obsłużenia jako dane protokołu uaktualnionego lub potokowane, a nie normalne dane HTTP.
Oryginalny opis (angielski, źródło NVD)
AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. Prior to 3.14.1, DigestAuthMiddleware can send an authentication response after following a cross-origin redirect. This likely requires an open redirect vulnerability or similar on the target domain for an attacker to be able to execute. Further, the attacker is only receiving the digest, so should only be able to extract the user's credentials if the cryptography is weak or there is some kind of password reuse. This vulnerability is fixed in 3.14.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS