CVE-2026-69243

总结

AIOHTTP 是一个基于 asyncio 和 Python 的异步 HTTP 客户端/服务器框架。在 3.14.2 版本之前，其 HTTP 解析器存在与 WebSocket 升级相关的请求走私攻击漏洞。如果使用服务器端组件，攻击者可能利用 WebSocket 升级过程中的一个边界情况来执行请求走私漏洞。带有请求体的 WebSocket 升级请求可能导致解析器在完整请求体接收之前切换协议，从而留下尾部字节被当作升级协议或管道化数据处理，而非正常的 HTTP 请求体数据。此问题已在 3.14.2 版本中修复。

来源

• cve-2026-69243-poc-aiohttp-smugglingPoC

  通过被拒绝的 WebSocket 升级复现 aiohttp CWE-444 请求走私，附带 Python/Rust 载荷及 Docker 实验环境，演示代理访问控制绕过。