CVE-2026-34993

highPriorität · verfolgen · 29EPSS 0.002 · 7. PerzentilEUFRRUUS

grimoire priorityP2 · Scheduled

Exploitable?

—

no known exploitation

Likely / severe?

0.18% (7th) EPSS

CVSS 7.3 · high

Is it mine?

33 products

Prüfe deine Angriffsfläche

Who says so?

5 sources

cnnvd · enisa_euvd · fstec_bdu · osv

EPSS · bewertet 2026-10-27

AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. Prior to version 3.14.0, using ``CookieJar.load()`` with untrusted input may allow arbitrary code execution. Most applications using this function will be doing so with the user's own data, so this is unlikely to affect many applications. Version 3.14.0 patches the issue. If an application does allow attacker controlled files to be loaded, a workaround on older releases would be to sanitize the files before loading.

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

7.3

010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen⚠ Quellen uneinig · medium–high · 6.4–7.3

v3.17.3highCVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:Hprimary · NVD / NIST USAusnutzbarkeit 1.3 · Auswirkung 5.9

v3.16.4mediumAV:L/AC:H/PR:H/UI:R/S:C/C:L/I:H/A:Lsecondary · FSTEC (BDU) RU

v3.16.4mediumCVSS:3.1/AV:L/AC:H/PR:H/UI:R/S:C/C:L/I:H/A:Lsecondary · ENISA EU

v3.16.4mediumCVSS:3.1/AV:L/AC:H/PR:H/UI:R/S:C/C:L/I:H/A:Lsecondary · security-advisories@github.comAusnutzbarkeit 0.6 · Auswirkung 5.3

v3.17.2highCVSS:3.1/AV:L/AC:H/PR:H/UI:R/S:C/C:H/I:H/A:HsecondaryAusnutzbarkeit 0.6 · Auswirkung 6

v3.16.4mediumCVSS:3.1/AV:L/AC:H/PR:H/UI:R/S:C/C:L/I:H/A:Lsecondary · OSV

v3.16.7mediumCVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H/E:Usecondary · CVSS-BT (t0sche)

SSVC

Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.

Trackcoordinatorcisa_ssvcUS

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-502USCWE-502USCWE-502US

betroffene Produkte (33)

Betroffene Produkte und Versionsbereiche.

aio-libs aiohttp≤ < 3.14.0enisa_euvdEU
Red Hat, Inc. Red Hat AI Inference Server≤ 3.4fstec_bduRU
Red Hat, Inc. Red Hat AI Inference Server≤ 3.3fstec_bduRU
Red Hat, Inc. Red Hat Ansible Automation Platform≤ 2.5fstec_bduRU
Red Hat, Inc. Red Hat Ansible Automation Platform≤ 2fstec_bduRU
Red Hat, Inc. Red Hat Ansible Automation Platform≤ 2.5 for RHEL 8fstec_bduRU
Red Hat, Inc. Red Hat Ansible Automation Platform≤ 2.5 for RHEL 9fstec_bduRU
Red Hat, Inc. Red Hat Ansible Automation Platform≤ 2.6 for RHEL 9fstec_bduRU
Red Hat, Inc. Red Hat Ansible Automation Platform≤ 2.6fstec_bduRU
Red Hat, Inc. Red Hat Ansible Automation Platform≤ 2.7fstec_bduRU
Red Hat, Inc. Red Hat Discovery≤ 2fstec_bduRU
Red Hat, Inc. Red Hat Enterprise Linux AI≤ 3.3fstec_bduRU
Red Hat, Inc. Red Hat Enterprise Linux AI≤ 3.4fstec_bduRU
Red Hat, Inc. Red Hat Migration Toolkit for Applications≤ 8.2fstec_bduRU
Red Hat, Inc. Red Hat OpenShift AI≤ 3.3fstec_bduRU
Red Hat, Inc. Red Hat OpenShift AI≤ 2.25fstec_bduRU
Red Hat, Inc. Red Hat OpenShift AI≤ 3.4fstec_bduRU
Red Hat, Inc. Red Hat Satellite≤ 6.16 for RHEL 9fstec_bduRU
Red Hat, Inc. Red Hat Satellite≤ 6.18 for RHEL 9fstec_bduRU
Red Hat, Inc. Red Hat Satellite≤ 6.17 for RHEL 9fstec_bduRU

20 von 33 angezeigt

Advisories (3)

Hersteller- und Ökosystem-Meldungen dazu.

GHSA-jg22-mg44-37j8AIOHTTP is Vulnerable to Deserialization of Untrusted Data2026-06-03ghsa · osvUS
### Summary Using ``CookieJar.load()`` with untrusted input may allow arbitrary code execution. ### Impact Most applications using this function will be doing so with the user's own data, so this is unlikely to affect many applications. ### Workaround If an application does allow attacker controlled files to be loaded, a workaround on older releases would be to sanitise the files before loading. ----- Patch: https://github.com/aio-libs/aiohttp/commit/dcf40f30637e8752c76781cf6703b5a236749a00
CERTFR-2026-AVI-1385Multiples vulnérabilités dans les produits VMwareFrançais2026-10-26vendor · certfrFR
PYSEC-2026-21042026-06-02vendor · osvUS
AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. Prior to version 3.14.0, using ``CookieJar.load()`` with untrusted input may allow arbitrary code execution. Most applications using this function will be doing so with the user's own data, so this is unlikely to affect many applications. Version 3.14.0 patches the issue. If an application does allow attacker controlled files to be loaded, a workaround on older releases would be to sanitize the files before loading.

auch bekannt als (7)

Weitere Namen und Kennungen dieser Entität.

quellen

Welche Quellen diesen Datensatz belegen und wann.

cnnvd enisa_euvd fstec_bdu osv certfr NVD CVE.org MITRE

veröffentlicht 2026-06-02geändert 2026-10-09

Referenzen (30)

Externe Belege — Patches, Meldungen, Analysen.

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan