PT-2026-67520 · Pypi · Aiohttp

CVE-2026-69243 · Publicado 2026-08-03 · Atualizado 2026-08-03

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.3

Média

Vetor base

AV:N/AC:H/AT:N/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas AIOHTTP versões anteriores a 3.14.2

Description Os analisadores HTTP no componente do lado do servidor são suscetíveis ao contrabando de requisições (request smuggling) durante atualizações de WebSocket. Isso ocorre quando uma requisição de atualização de WebSocket contém um corpo, fazendo com que o analisador altere os protocolos antes que todo o corpo seja recebido. Consequentemente, os bytes restantes são processados como dados de protocolo atualizado ou dados pipelined em vez de dados de corpo HTTP padrão.

Recommendations Atualize para a versão 3.14.2.

Correção

HTTP Request/Response Smuggling

Enumeração de Fraquezas

CWE-444

Identificadores relacionados

CVE-2026-69243

GHSA-MFX4-HV73-Q22V

Produtos afetados

Aiohttp

Referências · 7

• https://github.com/aio-libs/aiohttp/commit/6ae358f0983c3f4d6f67692b2f8e65dc8e091c98 · Nota
• https://github.com/aio-libs/aiohttp/security/advisories/GHSA-mfx4-hv73-q22v · Nota
• https://github.com/aio-libs/aiohttp/pull/13017 · Nota
• https://github.com/aio-libs/aiohttp/releases/tag/v3.14.2 · Nota
• https://github.com/aio-libs/aiohttp · Nota
• https://osv.dev/vulnerability/GHSA-mfx4-hv73-q22v · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-69243 · Nota de Segurança