p PatchFirst

CVE-2026-70646

CVE-2026-70646 · aiosend: Deserialization of request body before signature verification (Pre-auth DoS) in webhook handler

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

aiosend is a synchronous and asynchronous Crypto Pay API client. Pror to version 3.0.7, `WebhookHandler.feed_update()` deserializes the entire request body before verifying the HMAC signature. This allows an unauthenticated attacker to force expensive parsing of arbitrary JSON payloads that will ultimately be rejected, leading to unnecessary CPU and memory consumption. Version 3.0.7 fixes the issue. Some workarounds are available. Restrict request body size at the reverse proxy or web framework, rate-limit webhook endpoints, and/or reject oversized requests before JSON parsing.

CVSS 7.5 · Высокий · EPSS 0,6% · Есть исправление

Опубликовано
Обновлено

Стек: python

Затронутые продукты и версии

  • aiosend

    Версии
    • < 3.0.6: Затронуто

    Нет опубликованного исправления

  • aiosend PyPI

    Версии
    • 0.1.14
    • 0.1.15
    • 1.0.0
    • 1.0.1
    • 1.0.2
    • 1.0.3
    • 2.0.0
    • 2.0.1
    • 2.0.2
    • 2.0.3
    • 2.0.4
    • 2.0.5
    • 2.0.6
    • 2.1.0
    • 2.1.1
    • 2.1.2
    • 2.1.3
    • 3.0.0
    • 3.0.1
    • 3.0.2
    • 3.0.4
    • 3.0.5
    • 3.0.6
    Затронутые диапазоны версий
    • ECOSYSTEM: < 3.0.7

    Обновитесь до 3.0.7

Первоисточники

Проверьте свой сервер →