aioHTTP < 3.14.0 多個漏洞

high Nessus Plugin ID 320552

語言:

概要

遠端主機上安裝的 Python 程式庫受到多個弱點影響。

說明

遠端主機上安裝的 aioHTTP 版本比 3.14.0 舊。因此，會受到多個弱點影響：

- AIOHTTP 是適用於 asyncio 和 Python 的非同步 HTTP 用戶端/伺服器架構。在版本 3.14.0之前，將 CookieJar.load（）與不受信任的輸入一起使用可能會允許執行任意程式碼。大多數使用此函數的應用程式都會使用使用者自己的資料來執行此操作，因此這不太可能影響許多應用程式。
3.14.0 版修補此問題。如果應用程式確實允許載入攻擊者控制的檔案，則舊版本的因應措施是在載入之前清理檔案。（CVE-2026-34993）

- AIOHTTP 是適用於 asyncio 和 Python 的非同步 HTTP 用戶端/伺服器架構。在版本 3.14.0之前，在請求時使用 cookies 參數設定的 cookie 會在跨來源重新導向之後傳送。如果開發人員根據每個要求使用 cookies 參數，那麼如果攻擊者設法控制重新導向，敏感資料可能會洩露給攻擊者。3.14.0 版修補此問題。如果無法升級，則在 headers 參數中使用 Cookie 標頭不會受到攻擊。（CVE-2026-47265）

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。