CVE-2026-115775
Beschrijving NL
Twisted is een op gebeurtenissen gebaseerd framework voor internettoepassingen, dat Python 3.6 en hoger ondersteunt. Vóór versie 26.10.0rc1 maakte de twisted.words.xish.domish ExpatElementStream-parser het mogelijk voor een niet-geauthenticeerde externe partij om een containerelement open te houden terwijl er continu subelementen aan werden toegevoegd. De parser bewaarde de onvoltooide stanza als een in-memory boomstructuur zonder limiet voor bytes of het aantal elementen, en XMPP-pre-authenticatiestreamparsing maakte dit gedrag zichtbaar voordat de inloggegevens werden geaccepteerd. Een enkele verbinding kan daardoor het servergeheugen uitputten en het proces beëindigen. Dit probleem is opgelost in versie 26.10.0rc1.
Origineel (Engels) tonen
Twisted is an event-based framework for internet applications, supporting Python 3.6+. Prior to 26.10.0rc1, the twisted.words.xish.domish ExpatElementStream parser allows an unauthenticated remote peer to keep a container element open while continuously adding child elements. The parser retains the unfinished stanza as an in-memory tree without a byte or element-count limit, and XMPP pre-authentication stream parsing exposes this behavior before credentials are accepted. A single connection can therefore exhaust server memory and terminate the process. This issue is fixed in version 26.10.0rc1.