CVE-2026-84379 in HTTPX2
Zusammenfassung
von VulDB • 02.09.2026
HTTPX2 ist ein HTTP-Client der nächsten Generation für Python. Vor Version 2.11.0 interpoliert `FileField.render_headers()` im Pfad `src/httpx2/httpx2/_multipart.py` direkt angreiferkontrollierte `content_type`-Werte und benutzerdefinierte Header aus dem dreielementigen Tuple (`filename`, `content`, `content_type`) sowie dem vierelementigen Tuple (`filename`, `content`, `content_type`, `headers`) der Parameter `files=` in die Header von multipart/form-data-Teilen, ohne die Namen oder Werte der Header zu validieren. CR- oder LF-Zeichen können einen Teilheader beenden, zusätzliche Teilheader injizieren oder den Block der Teilheader vorzeitig abschließen, wodurch ein nachgelagerter Multipart-Parser angreiferbereitgestellte Zeilen als echte Header behandelt und möglicherweise die Semantik des Teils verändert oder headerbasierte Prüfungen umgeht. Dieses Problem wurde in Version 2.11.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.