PT-2026-49590 · Pypi · Aiohttp

Denyspakizh-Tob · CVE-2026-54276 · Publicado 2026-06-15 · Atualizado 2026-07-20

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.3

Média

Vetor base

AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas AIOHTTP versões anteriores a 3.14.1

Description O DigestAuthMiddleware pode enviar uma resposta de autenticação após seguir um redirecionamento de origem cruzada (cross-origin redirect). Se um cliente seguir um redirecionamento para um domínio controlado por um invasor, este poderá extrair o digest de autenticação. Este cenário provavelmente requer um redirecionamento aberto (open redirect) ou um problema semelhante no domínio de destino. O invasor receberia apenas o digest, portanto, as credenciais só poderiam ser extraídas se a criptografia for fraca ou se houver reutilização de senha.

Recommendations Atualize para a versão 3.14.1. Como medida paliativa temporária, desative o follow redirects.

Exploit

Correção

Insufficiently Protected Credentials

Open Redirect

Information Disclosure

Enumeração de Fraquezas

CWE-522

CWE-601

CWE-200

Identificadores relacionados

CVE-2026-54276

ECHO-063C-9C61-C3D6

GHSA-HPJ7-WQ8M-9HGP

OESA-2026-2838

OESA-2026-2839

PYSEC-2026-2109

Produtos afetados

Aiohttp

Referências · 27

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/54xxx/CVE-2026-54276.json · Exploit
• https://github.com/aio-libs/aiohttp · Nota
• https://github.com/aio-libs/aiohttp/security/advisories/GHSA-hpj7-wq8m-9hgp · Aviso do Fabricante
• https://github.com/aio-libs/aiohttp/commit/38d16060037e1bfcd6d677abababa3c2a4bb58fa · Correção
• https://ubuntu.com/security/CVE-2026-54276 · Aviso do Fabricante
• https://openeuler.org/zh/security/security-bulletins/detail/?id=openEuler-SA-2026-2839 · Nota
• https://osv.dev/vulnerability/PYSEC-2026-2109 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-54280 · Nota de Segurança
• https://security-tracker.debian.org/tracker/CVE-2026-54276 · Aviso do Fabricante
• https://t.me/cveNotify/181365 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-54274 · Nota de Segurança
• https://t.me/CVEtracker/57604 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-54278 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2026-54277 · Nota de Segurança
• https://cve.org/CVERecord?id=CVE-2026-54276 · Nota de Segurança