Tóm tắt nhanh
- CVE-2026-111749 là lỗ hổng mức THẤP (CVSS 2.3) ảnh hưởng aiohttp.
- Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.38%, cao hơn 32.5% các lỗ hổng khác.
- Cách xử lý: cập nhật lên 3.14.4 hoặc mới hơn.
| Gói / sản phẩm | Phiên bản bị ảnh hưởng | Phiên bản đã vá |
|---|
| aiohttp PyPI | < 3.14.4
| 3.14.4
|
Mô tả
Summary
A subdomain can remove the Host-Only flag from an existing cookie to a parent domain.
Impact
A user accessing untrusted subdomains could see their Host-Only protections stripped from cookies. Given most usecases won't reflect these cookies to a browser, the impact is limited.
Mô tả của NVD
AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. Prior to 3.14.4, Host-Only scope on an existing parent-domain cookie can be removed by a subdomain. A user who accesses an untrusted subdomain can consequently have host-only protections stripped from cookies, although impact is limited when applications do not reflect those cookies to a browser. This issue is fixed in version 3.14.4.
Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.
Quét site miễn phí