CVE-2026-34516 描述了 aiohttp 库中的一个拒绝服务 (DoS) 漏洞。该漏洞源于对 multipart 头部数量的限制不足，攻击者可以通过发送包含大量 multipart 头部响应来消耗过多的内存资源，导致服务中断。受影响的版本包括 aiohttp 3.9.5 及更早版本，建议升级至 3.13.4 以解决此问题。
攻击者可以利用此漏洞发起拒绝服务攻击，通过发送包含大量 multipart 头部响应来耗尽服务器的内存资源。这可能导致 aiohttp 服务器崩溃，无法处理正常的 HTTP 请求，从而影响应用程序的可用性。虽然存在其他限制，但攻击者仍然可以利用此漏洞造成显著的性能下降或服务中断。如果应用程序依赖于 aiohttp 处理大量并发请求，则该漏洞的影响将更加严重。此漏洞的潜在影响类似于其他内存耗尽型 DoS 攻击，可能导致服务不可用，并可能影响依赖于该服务的下游系统。
目前尚未公开披露此漏洞的详细利用方法，但由于其 DoS 的性质，可能存在被恶意利用的风险。该漏洞已于 2026 年 4 月 1 日发布。漏洞的严重程度评分为高，表明其潜在影响较大。建议密切关注安全社区的动态，并及时采取缓解措施。
Applications relying on aiohttp for handling HTTP requests, particularly those deployed in public-facing environments or handling sensitive data, are at risk. Systems with older aiohttp versions (≤3.9.5) and those lacking robust rate limiting or WAF protection are especially vulnerable.
• python / server:
# Check aiohttp version
python -c "import aiohttp; print(aiohttp.__version__)"
# Monitor memory usage with top/htop
top• generic web:
# Check for unusually large headers in access logs (example)
grep -i 'multipart' /var/log/nginx/access.log | head -n 10disclosure
漏洞利用状态
EPSS
0.05% (15% 百分位)
CVSS 向量
为了减轻 CVE-2026-34516 的影响，建议尽快升级到 aiohttp 3.13.4 或更高版本。如果无法立即升级，可以考虑实施以下缓解措施：限制 multipart 头部数量，例如通过配置反向代理或 Web 应用防火墙 (WAF) 来阻止包含过多头部数量的请求。此外，可以监控服务器的内存使用情况，并设置警报以检测异常的内存消耗。在升级后，请确认通过测试应用程序的 multipart 头部处理功能，确保漏洞已成功修复。
Actualice a la versión 3.13.4 o superior de AIOHTTP. Esta versión corrige la vulnerabilidad de denegación de servicio causada por el manejo excesivo de encabezados multipartes.
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2026-34516 是 aiohttp 3.9.5 及更早版本中发现的拒绝服务 (DoS) 漏洞。攻击者可以通过发送包含过多 multipart 头部响应来消耗服务器内存，导致服务中断。
如果您正在使用 aiohttp 3.9.5 或更早版本，则您可能受到此漏洞的影响。请立即升级到 3.13.4 或更高版本。
升级到 aiohttp 3.13.4 或更高版本是修复此漏洞的最佳方法。如果无法立即升级，请考虑限制 multipart 头部数量。
目前尚未公开披露此漏洞的详细利用方法，但由于其 DoS 的性质，可能存在被恶意利用的风险。
请访问 aio-libs/aiohttp GitHub 仓库的提交记录：https://github.com/aio-libs/aiohttp/commit/8a74257b3804c9aac0bf644af93070f68f6c5a6f
上传你的 requirements.txt 文件，立即知道是否受影响。