CVE-2026-116579

Nome do Software Vulnerável e Versões Afetadas Autobahn Python versões 26.7.1 até 26.10.0

Descrição Um cliente WebSocket não autenticado pode causar a negação de serviço por exaustão de memória em servidores que habilitam o recurso opcional permessage-brotli. Isso ocorre porque a função decompress message data() em compress brotli.py chama o descompressor Brotli sem um limite de saída e verifica a variável maxMessagePayloadSize apenas após a inflação de um frame completo. Consequentemente, um frame pequeno e altamente compactado pode alocar centenas de MiB de memória antes de ser rejeitado.

Recomendações Atualizar para a versão 26.10.1. Restringir o uso do recurso permessage-brotli para minimizar o risco de exploração.