CVE-2026-97689 in urllib3
الملخص
بحسب VulDB • 29/09/2026
urllib3 هي مكتبة عميل HTTP مخصصة لـ Python. من الإصدار 1.10.3 حتى 2.8.0، يمكن لطريقتي `HTTPResponse.read_chunked` و `HTTPResponse.stream` تخصيص ذاكرة غير محدودة (unbounded memory) لأن مُفسّر التيارات (streaming chunk parser) يخزن حقل حجم الكتلة (chunk-size field) حتى ظهور سطر جديد أو نهاية الملف (EOF) دون وجود حد للطول. يتم التحفيز من خلال قيام خادم خبيث بإرجاع `Transfer-Encoding: chunked` متبوعاً بسلسلة طويلة جداً من البايتات بدون سطر جديد. آلية الهجوم هي أن خوادم HTTP الخبيثة ترسل سطراً طويلاً جداً لحجم الكتلة غير المنتهي (unterminated chunk-size line). يتمثل الأثر في استنفاد عملية العميل بسبب تخصيص الذاكرة بشكل غير محدود. تم إصلاح هذه المشكلة في الإصدار 2.8.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.