CVE-2026-34824Mesop是一个基于Python的UI框架,用于构建Web应用程序。在1.2.3至1.2.5之前的版本中,其WebSocket实现中存在一个不受控制的资源消耗漏洞。未经身份验证的远程攻击者可以通过发送快速的WebSocket消息序列,利用该漏洞迫使服务器生成无限数量的操作系统线程。这种资源滥用导致线程耗尽和内存不足(OOM)错误,最终致使基于该框架构建的任何应用程序完全拒绝服务。官方已在1.2.5版本中修复了此问题。
该漏洞的核心成因在于Mesop框架处理WebSocket连接时的逻辑缺陷。在受影响的版本中,服务器端在处理WebSocket消息时,未对并发处理线程的数量设置上限。攻击者无需任何认证权限,只需与目标服务器建立WebSocket连接,并以极高的频率发送大量消息。服务器每接收到消息就会尝试生成新的系统线程进行处理,这种无限制的线程创建行为会迅速耗尽系统的线程池和内存资源。当系统资源达到极限时,服务器将无法响应新的请求,甚至发生崩溃,从而实现拒绝服务攻击。