CVE-2026-70646
Açıklama
aiosend, senkron ve asenkron bir Crypto Pay API istemcisidir. 3.0.7 sürümünden önce, `WebhookHandler.feed_update()` HMAC imzasını doğrulamadan önce tüm istek gövdesini seri durumdan çıkarır. Bu, kimliği doğrulanmamış bir saldırganın, sonunda reddedilecek keyfi JSON yüklerinin maliyetli şekilde ayrıştırılmasını zorlayarak gereksiz CPU ve bellek tüketimine yol açmasına olanak tanır. 3.0.7 sürümü bu sorunu düzeltir. Bazı geçici çözümler mevcuttur. Ters proxy veya web çerçevesinde istek gövdesi boyutunu kısıtlayın, webhook uç noktalarını hız sınırlayın ve/veya JSON ayrıştırmasından önce aşırı büyük istekleri reddedin.
Nasıl düzeltilir
- aiosend3.0.7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| aiosendPyPI | v < 3.0.7 | 3.0.7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.