aioHTTP < 3.14.0 多种漏洞

high Nessus 插件 ID 320552

语言：

简介

远程主机上安装的 Python 库受到多个漏洞的影响。

描述

远程主机上安装的 aioHTTP 版本低于 3.14.0。因此，该应用程序受到多个漏洞的影响：

- AIOHTTP 是用于 asyncio 和 Python 的异步 HTTP 客户端/服务器框架。在低于版本 3.14.0之前，通过不受信任的输入使用 CookieJar.load（）可能会允许任意代码执行。大多数使用此函数的应用程序都会使用用户自己的数据，因此这不太可能影响许多应用程序。
版本 3.14.0 修补了该问题。如果应用程序允许加载攻击者控制的文件，较低版本的变通方案为在加载前审查文件。（CVE-2026-34993）

- AIOHTTP 是用于 asyncio 和 Python 的异步 HTTP 客户端/服务器框架。在低于版本 3.14.0之前，在请求中使用 cookies 参数设置的 cookie 会在进行跨源重定向之后发送。如果开发人员根据请求使用 cookies 参数，则在攻击者设法控制重定向时，敏感数据可能会泄露给攻击者。版本 3.14.0 修补了该问题。如果无法升级，则在标头参数中使用 Cookie 标头不易受到影响。（CVE-2026-47265）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。