CVE-2026-48987

Nome do Software Vulnerável e Versões Afetadas pyload (versões afetadas não especificadas)

Description O módulo EventManager gerencia instâncias de Client para assinaturas de eventos. Quando a API get events é chamada com um uuid único, uma nova instância de Client é criada e adicionada à lista clients. Como o método clean(), projetado para remover clientes que não respondem, nunca é invocado no EventManager ou no núcleo da aplicação, o consumo de memória cresce de forma descontrolada. Isso pode levar a uma Negação de Serviço (DoS), pois o sistema esgota a memória disponível, resultando potencialmente em um encerramento por falta de memória (OOM kill) pelo sistema operacional. O problema é acionado através do endpoint da API getEvents utilizando o parâmetro uuid.

Recommendations Invoque o método clean() no início da função get events para remover clientes inativos. Implemente a limitação de taxa (rate limiting) no endpoint da API getEvents para evitar a inundação de UUIDs únicos.