AIOHTTP has unicode match groups in regexes for ASCII protocol elements

TRUNG BÌNH 5.3CVE-2025-69225 · GHSA-mqqc-3gqh-h2x8 · PYSEC-2026-1109 · Công bố 06/01/2026 · cập nhật 11/10/2026

Tóm tắt nhanh

CVE-2025-69225 là lỗ hổng mức TRUNG BÌNH (CVSS 5.3) ảnh hưởng aiohttp, aiohttp (aiohttp).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.28%, cao hơn 20.8% các lỗ hổng khác.
Cách xử lý: cập nhật lên 3.13.3 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
aiohttp PyPI	`< 3.13.3`	`3.13.3`
aiohttp aiohttp	`< 3.13.3`	`3.13.3`

Mô tả

Summary

The parser allows non-ASCII decimals to be present in the Range header.

Impact

There is no known impact, but there is the possibility that there's a method to exploit a request smuggling vulnerability.

Patch: https://github.com/aio-libs/aiohttp/commit/c7b7a044f88c71cefda95ec75cdcfaa4792b3b96

Mô tả của NVD

AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. Versions 3.13.2 and below contain parser logic which allows non-ASCII decimals to be present in the Range header. There is no known impact, but there is the possibility that there's a method to exploit a request smuggling vulnerability. This issue is fixed in version 3.13.3.