CVE-2023-37276

aiohttp, asyncio ve Python için eşzamansız bir HTTP istemci/sunucu çerçevesidir. aiohttp v3.8.4 ve önceki sürümler llhttp v6.0.6 ile birlikte paketlenmiştir. Savunmasız kod, mevcut olduğunda aiohttp tarafından HTTP istek ayrıştırıcısı için kullanılır ve bu, wheel'den kurulum yapıldığında varsayılan durumdur. Bu güvenlik açığı yalnızca aiohttp'u HTTP sunucusu olarak kullanan kullanıcıları etkiler (yani `aiohttp.Application`); aiohttp'u HTTP istemci kütüphanesi olarak kullanıyorsanız (yani `aiohttp.ClientSession`) bu güvenlik açığından etkilenmezsiniz. Özel olarak hazırlanmış bir HTTP isteği göndermek, sunucunun HTTP başlık değerlerinden birini yanlış yorumlamasına ve HTTP istek kaçakçılığına yol açacaktır. Bu sorun 3.8.5 sürümünde giderilmiştir. Kullanıcıların yükseltme yapması önerilir. Yükseltme yapamayan kullanıcılar, llhttp HTTP istek ayrıştırıcı uygulamasını devre dışı bırakmak için `AIOHTTP_NO_EXTENSIONS=1` ortam değişkenini kullanarak aiohttp'u yeniden kurabilir. Saf Python uygulaması savunmasız değildir.