PT-2026-147165
CVE-2026-128126
·
Publicado
2026-11-13
·
Atualizado
2026-11-15
Descrição por
CVSS 4.0
8.7
AltaMétricasAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
Nome do Software Vulnerável e Versões Afetadas
AIOHTTP versões anteriores a 3.14.4
Description
A função
Request.post() não limita o número de campos em um corpo de formulário codificado em URL. A inserção de inúmeras chaves repetidas no MultiDict resulta em complexidade de tempo quadrática no loop de eventos, permitindo que um invasor remoto envie uma requisição form POST dentro do limite client max size para um manipulador que chama Request.post() e bloqueie o loop de eventos.Recommendations
Atualize para a versão 3.14.4.
Explorabilidade
Exploit
Correção
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾