Vulnerabilidades

AIOHTTP es un framework asíncrono de cliente/servidor HTTP para asyncio y Python. Antes de la versión 3.13.4, en algunos campos de formularios multiparte, aiohttp leía el campo completo en memoria antes de comprobar client_max_size. Este problema se ha corregido en la versión 3.13.4.

AIOHTTP es un framework asíncrono de cliente/servidor HTTP para asyncio y Python. Antes de la versión 3.13.4, una respuesta con un número excesivo de cabeceras multiparte podía consumir más memoria de la prevista, lo que podría permitir una vulnerabilidad de denegación de servicio (DoS). Este problema se ha corregido…

AIOHTTP es un framework asíncrono de cliente/servidor HTTP para asyncio y Python. Antes de la versión 3.13.4, en Windows, el manejador de recursos estáticos puede exponer información sobre una ruta remota NTLMv2. Este problema se ha corregido en la versión 3.13.4.

AIOHTTP es un framework asíncrono de cliente/servidor HTTP para asyncio y Python. Antes de la versión 3.13.4, un atacante que controle el parámetro content_type en aiohttp podría utilizarlo para inyectar cabeceras adicionales o realizar explotaciones similares. Este problema ha sido corregido en la versión 3.13.4.

AIOHTTP es un framework asíncrono de cliente/servidor HTTP para asyncio y Python. Antes de la versión 3.13.4, una caché DNS sin límite podía provocar un consumo excesivo de memoria, lo que podría dar lugar a una situación de denegación de servicio (DoS). Este problema se ha corregido en la versión 3.13.4.

AIOHTTP es un framework asíncrono de cliente/servidor HTTP para asyncio y Python. Antes de la versión 3.13.4, las restricciones insuficientes en el manejo de encabezados y trailers podían provocar un uso de memoria sin límite. Este problema se ha corregido en la versión 3.13.4.

AIOHTTP es un framework cliente/servidor HTTP asíncrono para asyncio y Python. En las versiones 3.13.2 e inferiores, la lectura de múltiples cookies inválidas puede provocar una tormenta de registros. Si se accede al atributo cookies en una aplicación, entonces un atacante podría ser capaz de desencadenar una tormenta…

AIOHTTP es un framework HTTP cliente/servidor asíncrono para asyncio y Python. En las versiones 3.13.2 e inferiores, el manejo de mensajes fragmentados puede resultar en un uso excesivo de CPU de bloqueo al recibir un gran número de fragmentos. Si una aplicación utiliza el método request.read() en un punto final, un…

AIOHTTP es un framework cliente/servidor HTTP asíncrono para asyncio y Python. Las versiones 3.13.2 e inferiores permiten que se elabore una solicitud de tal manera que la memoria de un servidor AIOHTTP se llene incontrolablemente durante el procesamiento. Si una aplicación incluye un manejador que utiliza el método…

AIOHTTP es un framework HTTP cliente/servidor asíncrono para asyncio y Python. Las versiones 3.13.2 e inferiores permiten que se produzca un bucle infinito cuando se omiten las sentencias assert, lo que resulta en un ataque de DoS al procesar un cuerpo POST. Si las optimizaciones están habilitadas (-O o…

AIOHTTP es un framework cliente/servidor HTTP asíncrono para asyncio y Python. Las versiones 3.13.2 e inferiores contienen lógica de analizador que permite que decimales no ASCII estén presentes en el encabezado Range. No hay impacto conocido, pero existe la posibilidad de que haya un método para explotar una…

AIOHTTP es un framework asíncrono de cliente/servidor HTTP para asyncio y Python. Las versiones 3.13.2 e inferiores permiten a un atacante determinar la existencia de componentes de ruta absolutos a través de la lógica de normalización de rutas para archivos estáticos, destinada a prevenir el salto de ruta. Si una…

AIOHTTP es un framework asíncrono de cliente/servidor HTTP para asyncio y Python. Las versiones 3.13.2 e inferiores del analizador HTTP de Python pueden permitir un ataque de contrabando de solicitudes con la presencia de caracteres no ASCII. Si se instala una versión de AIOHTTP puramente en Python (es decir, sin las…

AIOHTTP es un framework asíncrono de cliente/servidor HTTP para asyncio y Python. Las versiones 3.13.2 e inferiores permiten que se utilice una bomba zip para ejecutar un DoS contra el servidor AIOHTTP. Un atacante podría enviar una solicitud comprimida que, al ser descomprimida por AIOHTTP, podría agotar la memoria…

AIOHTTP es un framework cliente/servidor HTTP asíncrono para asyncio y Python. En versiones anteriores a la 3.12.14, el analizador de Python era vulnerable a una vulnerabilidad de contrabando de solicitudes debido a que no analizaba las secciones finales de una solicitud HTTP. Si se instala una versión de aiohttp pura…

Home Assistant Core es una automatización de origen de código abierto que pone primero el control local y la privacidad. Las versiones afectadas están sujetas a los posibles ataques de hombre en el medio debido a la verificación de certificado SSL faltante en la base de código del proyecto y usaron de terceros…

aiohttp es un framework de trabajo de cliente/servidor HTTP asincrónico para asyncio y Python. Antes de la versión 3.10.11, el analizador de Python analiza incorrectamente las nuevas líneas en las extensiones de fragmentos, lo que puede provocar vulnerabilidades de contrabando de solicitudes en determinadas…

aiohttp es un framework de trabajo de cliente/servidor HTTP asincrónico para asyncio y Python. En las versiones a partir de la 3.10.6 y anteriores a la 3.10.11, puede producirse una pérdida de memoria cuando una solicitud produce un MatchInfoError. Esto se debía a que se añadía una entrada a una memoria caché en cada…

aiohttp es un framework cliente/servidor HTTP asíncrono para asyncio y Python. Antes de la versión 3.10.2, las rutas estáticas que contienen archivos con variantes comprimidas (extensión `.gz` o `.br`) son vulnerables al path traversal fuera del directorio raíz si esas variantes son enlaces simbólicos. El servidor…

aiohttp es un framework cliente/servidor HTTP asíncrono para asyncio y Python. En las versiones afectadas, un atacante puede enviar una solicitud POST (multipart/form-data) especialmente manipulada. Cuando el servidor aiohttp lo procese, el servidor entrará en un bucle infinito y no podrá procesar más solicitudes. Un…

aiohttp es un framework cliente/servidor HTTP asíncrono para asyncio y Python. Existe una vulnerabilidad XSS en las páginas de índice para el manejo de archivos estáticos. Esta vulnerabilidad se solucionó en 3.9.4. Siempre hemos recomendado utilizar un servidor proxy inverso (por ejemplo, nginx) para servir archivos…

aiohttp es un framework cliente/servidor HTTP asíncrono para asyncio y Python. Las partes sensibles a la seguridad del analizador HTTP de Python conservaron diferencias menores en los conjuntos de caracteres permitidos, que deben activar el manejo de errores para hacer coincidir de manera sólida los límites de marco…

aiohttp es un framework cliente/servidor HTTP asíncrono para asyncio y Python. Cuando se utiliza aiohttp como servidor web y se configuran rutas estáticas, es necesario especificar la ruta raíz para los archivos estáticos. Además, la opción 'follow_symlinks' se puede utilizar para determinar si se deben seguir enlaces…

aiohttp es un framework cliente/servidor HTTP asíncrono para asyncio y Python. Una validación incorrecta hizo posible que un atacante modificara la solicitud HTTP (por ejemplo, para insertar un nuevo encabezado) o creara una nueva solicitud HTTP si el atacante controla la versión HTTP. La vulnerabilidad sólo ocurre si…

aiohttp es un framework cliente/servidor HTTP asíncrono para asyncio y Python. Una validación inadecuada hace posible que un atacante modifique la solicitud HTTP (por ejemplo, inserte un nuevo encabezado) o incluso cree una nueva solicitud HTTP si el atacante controla el método HTTP. La vulnerabilidad ocurre sólo si…