CVE-2026-84380 in Httpx2
Zusammenfassung
von VulDB • 02.09.2026
HTTPX2 ist ein HTTP-Client der nächsten Generation für Python. Vor Version 2.11.0 kann Request._prepare() in src/httpx2/httpx2/_models.py einen auf dem Body basierenden Content-Length-Header zu einer Anfrage hinzufügen, die bereits einen vom Aufrufer bereitgestellten Transfer-Encoding-Header enthält, da die setdefault()-Verarbeitung jeden Standardheader unabhängig prüft, anstatt diese beiden Framing-Headers als sich gegenseitig ausschließend zu behandeln. Daher können Byte-Fixgröße-, JSON-, Formular- und bekannt-lange Multipart-Bodies über HTTP/1.1 mit beiden Headern serialisiert werden, was Request Smuggling oder Connection Desynchronization ermöglicht, wenn nachgelagerte Intermediaries unterschiedlicher Meinung darüber sind, welcher Framing-Header Vorrang hat. Dieses Problem wurde in Version 2.11.0 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.