CVE-2026-115775
CVE-2026-115775 · Twisted: Unauthenticated Remote Denial of Service in the Twisted words domish XML Element Stream via an Unbounded Element Tree
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
Twisted is an event-based framework for internet applications, supporting Python 3.6+. Prior to 26.10.0rc1, the twisted.words.xish.domish ExpatElementStream parser allows an unauthenticated remote peer to keep a container element open while continuously adding child elements. The parser retains the unfinished stanza as an in-memory tree without a byte or element-count limit, and XMPP pre-authentication stream parsing exposes this behavior before credentials are accepted. A single connection can therefore exhaust server memory and terminate the process. This issue is fixed in version 26.10.0rc1.
CVSS 8.7 · Alta · EPSS 0,4% · Código de explotación público · Corrección disponible
- Publicación
- Actualización
Pila tecnológica: system · python
Productos y versiones afectados
twisted
- Versiones
- < 26.10.0rc1: Afectada
Sin corrección publicada
twisted Debian:12
- Versiones
- 22.4.0-4
- 22.4.0-4+deb12u1
- 23.10.0-1
- 23.10.0-2
- 24.10.0-1
- 24.10.0-2
- 24.11.0-1
- 24.3.0-1
- 24.3.0-2
- 24.3.0-3
- 24.7.0-1
- 24.7.0-2
- 24.7.0-3
- 25.5.0-1
- 25.5.0-2
- 25.5.0-3
- 25.5.0-4
- 25.5.0-5
- 26.4.0-1
- 26.4.0-2
- 26.4.0-3
- 26.4.0-4
- 26.4.0-5
- 26.4.0-6
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
twisted Debian:13
- Versiones
- 24.11.0-1
- 25.5.0-1
- 25.5.0-2
- 25.5.0-3
- 25.5.0-4
- 25.5.0-5
- 26.4.0-1
- 26.4.0-2
- 26.4.0-3
- 26.4.0-4
- 26.4.0-5
- 26.4.0-6
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
twisted Debian:14
- Versiones
- 24.11.0-1
- 25.5.0-1
- 25.5.0-2
- 25.5.0-3
- 25.5.0-4
- 25.5.0-5
- 26.4.0-1
- 26.4.0-2
- 26.4.0-3
- 26.4.0-4
- 26.4.0-5
- 26.4.0-6
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
twisted PyPI
- Versiones
- 1.0.1
- 1.0.3
- 1.0.4
- 1.0.5
- 1.0.6
- 1.0.7
- 1.1.0
- 1.1.1
- 1.2.0
- 10.0.0
- 10.1.0
- 10.2.0
- 11.0.0
- 11.1.0
- 12.0.0
- 12.1.0
- 12.2.0
- 12.3.0
- 13.0.0
- 13.1.0
- 13.2.0
- 14.0.0
- 14.0.1
- 14.0.2
- 15.0.0
- 15.1.0
- 15.2.0
- 15.2.1
- 15.3.0
- 15.4.0
- 15.5.0
- 16.0.0
- 16.1.0
- 16.1.1
- 16.2.0
- 16.3.0
- 16.3.1
- 16.3.2
- 16.4.0
- 16.4.1
- 16.5.0
- 16.5.0rc1
- 16.5.0rc2
- 16.6.0
- 16.6.0rc1
- 16.7.0rc1
- 16.7.0rc2
- 17.1.0
- 17.1.0rc1
- 17.5.0
- 17.9.0
- 17.9.0rc1
- 18.4.0
- 18.4.0rc1
- 18.7.0
- 18.7.0rc1
- 18.7.0rc2
- 18.9.0
- 18.9.0rc1
- 19.10.0
- 19.10.0rc1
- 19.2.0
- 19.2.0rc1
- 19.2.0rc2
- 19.2.1
- 19.7.0
- 19.7.0rc1
- 2.1.0
- 2.4.0
- 2.5.0
- 20.3.0
- 20.3.0rc1
- 21.2.0
- 21.2.0rc1
- 21.7.0
- 21.7.0rc1
- 21.7.0rc2
- 21.7.0rc3
- 22.1.0
- 22.1.0rc1
- 22.10.0
- 22.10.0rc1
- 22.2.0
- 22.2.0rc1
- 22.4.0
- 22.4.0rc1
- 22.8.0
- 22.8.0rc1
- 23.10.0
- 23.10.0rc1
- 23.8.0
- 23.8.0rc1
- 24.10.0
- 24.10.0rc1
- 24.11.0
- 24.11.0rc1
- 24.11.0rc2
- 24.2.0rc1
- 24.3.0
- 24.7.0
- 24.7.0rc1
- 24.7.0rc2
- 25.5.0
- 25.5.0rc1
- 26.4.0
- 26.4.0rc2
- 8.0.0
- 8.0.1
- 8.1.0
- 8.2.0
- 9.0.0
- Intervalos de versiones afectados
- ECOSYSTEM: < 26.10.0rc1
Actualiza a 26.10.0rc1
twisted Ubuntu:Pro:14.04:LTS
- Versiones
- 13.0.0-1ubuntu1
- 13.2.0-1ubuntu1
- 13.2.0-1ubuntu1.2
- 13.2.0-1ubuntu1.2+esm1
- 13.2.0-1ubuntu1.2+esm2
- 13.2.0-1ubuntu1.2+esm3
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
twisted Ubuntu:Pro:16.04:LTS
- Versiones
- 15.2.1-1ubuntu2
- 15.5.0-1
- 15.5.0-2
- 15.5.0-2ubuntu1
- 15.5.0-4
- 16.0.0~pre1-1
- 16.0.0~pre1-1ubuntu1
- 16.0.0~pre1-2ubuntu1
- 16.0.0~pre1-3
- 16.0.0-1
- 16.0.0-1ubuntu0.2
- 16.0.0-1ubuntu0.4
- 16.0.0-1ubuntu0.4+esm1
- 16.0.0-1ubuntu0.4+esm2
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
twisted Ubuntu:Pro:18.04:LTS
- Versiones
- 16.6.0-2ubuntu3
- 17.9.0-1
- 17.9.0-2
- 17.9.0-2ubuntu0.1
- 17.9.0-2ubuntu0.3
- 17.9.0-2ubuntu0.3+esm1
- 17.9.0-2ubuntu0.3+esm2
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
twisted Ubuntu:20.04:LTS
- Versiones
- 18.9.0-3ubuntu1
- 18.9.0-5
- 18.9.0-6
- 18.9.0-6build1
- 18.9.0-6ubuntu1
- 18.9.0-8
- 18.9.0-11
- 18.9.0-11ubuntu0.20.04.1
- 18.9.0-11ubuntu0.20.04.2
- 18.9.0-11ubuntu0.20.04.3
- 18.9.0-11ubuntu0.20.04.4
- 18.9.0-11ubuntu0.20.04.5
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
twisted Ubuntu:22.04:LTS
- Versiones
- 20.3.0-7ubuntu1
- 20.3.0-7ubuntu3
- 22.1.0-2ubuntu2
- 22.1.0-2ubuntu2.1
- 22.1.0-2ubuntu2.3
- 22.1.0-2ubuntu2.4
- 22.1.0-2ubuntu2.5
- 22.1.0-2ubuntu2.6
- 22.1.0-2ubuntu2.7
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
twisted Ubuntu:24.04:LTS
- Versiones
- 22.4.0-4
- 22.4.0-4ubuntu1
- 23.10.0-2
- 24.3.0-1
- 24.3.0-1ubuntu0.1
- 24.3.0-1ubuntu0.2
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
twisted Ubuntu:26.10
- Versiones
- 25.5.0-5
- 26.4.0-4
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
twisted Ubuntu:26.04:LTS
- Versiones
- 24.11.0-1
- 25.5.0-4
- 25.5.0-5
- 25.5.0-5ubuntu0.1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
Fuentes originales
- https://github.com/twisted/twisted/security/advisories/GHSA-3476-c5c2-fr73
- https://github.com/twisted/twisted/pull/12751
- https://github.com/twisted/twisted/commit/8873814bec8288e2466fad4d2c4d64039beb88b0
- https://github.com/twisted/twisted/releases/tag/twisted-26.10.0rc1
- https://nvd.nist.gov/vuln/detail/CVE-2026-115775