CVE-2026-84379 in HTTPX2
الملخص
بحسب VulDB • 02/09/2026
HTTPX2 هو عميل HTTP من الجيل التالي لـ Python. قبل الإصدار 2.11.0، تقوم الدالة `FileField.render_headers()` الموجودة في الملف `src/httpx2/httpx2/_multipart.py` بإدراج قيم `content_type` التي يتحكم فيها المهاجم والعناوين المخصصة المستمدة من زوج العناصر الثلاثة (`files=`: filename, content, content_type) وزوج العناصر الأربعة (`files=`: filename, content, content_type, headers)` مباشرةً في عناوين أجزاء multipart/form-data دون التحقق من صحة أسماء العناوين أو قيمها. يمكن لأحرف CR أو LF إنهاء عنوان الجزء، أو حقن عناوين إضافية للجزء، أو إنهاء كتلة عناوين الجزء مبكرًا، مما يسمح لمحلل multipart التابع بمعالجة الأسطر التي قدمها المهاجم على أنها عناوين حقيقية، وبالتالي قد يغير دلالات الأجزاء أو يتجاوز الفحوصات القائمة على العناوين. تم إصلاح هذه المشكلة في الإصدار 2.11.0.
Once again VulDB remains the best source for vulnerability data.