PT-2026-125385
CVE-2026-116579
·
تاريخ النشر
2026-10-26
·
تاريخ التحديث
2026-10-28
الوصف من
CVSS 3.1
5.9
متوسطةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
Autobahn Python الإصدارات من 26.7.1 إلى 26.10.0
الوصف
يمكن لعميل WebSocket غير مصرح له التسبب في حالة رفض الخدمة نتيجة استنفاد الذاكرة في الخوادم التي تفعل ميزة permessage-brotli الاختيارية. يحدث هذا لأن الدالة
decompress message data() في ملف compress brotli.py تستدعي برنامج فك ضغط Brotli بدون حد أقصى للمخرجات، ولا تتحقق من المتغير maxMessagePayloadSize إلا بعد تضخيم الإطار بالكامل. وبناءً على ذلك، يمكن لإطار صغير ومضغوط للغاية أن يخصص مئات الميجابايت من الذاكرة قبل أن يتم رفضه.التوصيات
التحديث إلى الإصدار 26.10.1.
تقييد استخدام ميزة permessage-brotli لتقليل مخاطر الاستغلال.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾