CVE-2026-104874

Multidict: Reference leak in CIMultiDict/MultiDict items-view union and subtraction

CVSS 3.1Medium

5.3/ 10.0

Опубликовано

2 октября 2026 г.

Обновлено

5 октября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ПАТЧ ДОСТУПЕН: ВЕРСИЯ 6.9.1

Обновите пакет multidict до версии 6.9.2 или выше, либо используйте pure-Python сборку без C-расширения.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Утечка ссылок C-расширения в Multidict, приводящая к неконтролируемому расходу памяти.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Функции multidict_itemsview_or2_impl (операция operand | d.items()) и multidict_itemsview_sub1_impl (d.items() - operand) не освобождают новые сильные ссылки (PyObject) на ключ и значение для каждого элемента операнда.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Утечка двух strong references на элемент исключает сборку мусора GC, провоцируя лавинообразный рост потребления RAM и отказ в обслуживании (DoS).

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

aio-libsmultidict

>= 6.7.0➔Fix: 6.9.1

——

>= 6.7.0➔Fix: 6.9.1

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (3)

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-104874: Multidict: Reference leak in CIMultiDict/MultiDict items-view union and subtraction. URL: https://cve.futuretools.ru/cve/CVE-2026-104874

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_104874,
  title = {{CVE-2026-104874: Multidict: Reference leak in CIMultiDict/MultiDict items-view union and subtraction}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-104874}},
  note = {Оперативный инженерный анализ киберугроз}
}