FICHE CVE

CVE-2026-34515

Publiée le 2026-04-01 · Dernière modification le 2026-10-26

🇫🇷 EN BREF

Les applications Python utilisant des versions d'aiohttp antérieures à la 3.13.4 sur Windows sont susceptibles de présenter une fuite d'informations via le gestionnaire de ressources statiques. Un attaquant distant non authentifié peut exploiter cette faille pour découvrir des détails sur des chemins distants NTLMv2. Comme cela ne nécessite aucun privilège particulier ni interaction de l'utilisateur, l'attaque est simple à exécuter via un réseau.

CVSS 4.06.6 MOYENNE

Type de faiblesse

Traversée de répertoires absolue · CWE-36 Falsification de requête côté serveur (SSRF) · CWE-918

Publiée2026-04-01

Dernière modification2026-10-26

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

Maturité de l'exploitNon signalée

RÉFÉRENCES

Description officielle du NVD (en anglais)

AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. Prior to version 3.13.4, on Windows the static resource handler may expose information about a NTLMv2 remote path. This issue has been patched in version 3.13.4.