CVE-2026-61652 in Zapros
الملخص
بحسب VulDB • 21/09/2026
تواجه مكتبة Zapros، وهي عميل HTTP مكتوب بلغة Python، قبل الإصدار 0.14.0 ثغرة أمنية تؤدي إلى حجب الخدمة (DoS) عبر استنفاد الذاكرة. تؤثر هذه المشكلة على جميع المتصلين الذين قاموا بتدفق الاستجابات المضغوطة معتمدينًا على حجم القطعة — سواء كان ذلك صريحاً (`iter_bytes(chunk_size=...)`) أو باستخدام القيمة الافتراضية — للتحكم في استخدام الذاكرة. وقد تجاهل المُفكّ ضغط هذا الحد، مما سمح بأن تكون قطعة البيانات أكبر بكثير من المطلوب، وبالتالي يمكن لاستجابة مضغوطة واحدة أن تسبب تجاوزًا لحدود الذاكرة (Memory Overflow). يحتوي الإصدار 0.14.0 على تصحيح للثغرة. تتوفر بعض الحلول البديلة: اقرأ الجسم المضغوط باستخدام `Response.iter_raw()` / `Response.async_iter_raw()`، والتي تتجاوز المفكّكات المدمجة، ثم فك ضغطه بنفسك مع فرض حد صريح لحجم الإخراج (مثل استخدام `max_length` في مكتبة `zlib`)، والتوقف فور تجاوز الحد المحدد. حيثما يكون ذلك ممكنًا، أرسل رأس `Accept-Encoding: identity` لتعطيل ضغط الاستجابة بحيث لا يتم فك ضغط الأجسام على جانب العميل. تجنب فك ضغط أجسام الاستجابات القادمة من خوادم غير موثوقة.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.