CVE-2026-84380 in Httpx2
الملخص
بحسب VulDB • 02/09/2026
HTTPX2 هو عميل HTTP من الجيل التالي لـ Python. قبل الإصدار 2.11.0، يمكن للدالة `Request._prepare()` الموجودة في الملف `src/httpx2/httpx2/_models.py` إضافة رأس `Content-Length` مشتق من جسم الطلب إلى طلب يحتوي بالفعل على رأس `Transfer-Encoding` مقدم من المُستدعي، وذلك لأن معالجة الدالة `setdefault()` تتحقق من كل رأس افتراضي بشكل مستقل بدلاً من التعامل مع هذين الرأسين الخاصين بالتغليف (framing headers) كحالات متبادلة الاستبعاد. وبالتالي، يمكن تجسيد أجسام ذات حجم ثابت أو بصيغة JSON أو نماذج بيانات (form data) أو أجزاء متعددة بطول معروف عبر HTTP/1.1 باستخدام كلا الرأسين، مما يسمح بتهريب الطلبات (request smuggling) أو عدم مزامنة الاتصال عندما تختلف الوسيطات النهائية (downstream intermediaries) حول أي رأس تغليف له الأسبقية. تم إصلاح هذه المشكلة في الإصدار 2.11.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.