PT-2026-147166
CVE-2026-128127
·
تاريخ النشر
2026-11-13
·
تاريخ التحديث
2026-11-14
الوصف من
CVSS 4.0
8.7
عاليةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
AIOHTTP الإصدارات السابقة لـ 3.14.4
Description
توجد مشكلة في الدالة
read chunk() عند معالجة جزء متعدد الأجزاء (multipart) يكون فيه Content-Transfer-Encoding مضبوطًا على base64. يستمر النظام في القراءة حتى يصبح طول الجزء مضاعفًا للرقم أربعة دون فرض حد أقصى للبايتات. يسمح هذا السلوك للمهاجم عن بُعد بتجاوز client max size عن طريق إرسال طلب multipart يحتوي على Content-Length قصير أو سلسلة طويلة من المسافات البيضاء، مما قد يؤدي إلى قراءة الجسم المتبقي في الذاكرة أو تسبب تعليق في حلقة الأحداث (event loop).Recommendations
التحديث إلى الإصدار 3.14.4.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾