CVE-2026-84381 in HTTPX2
Zusammenfassung
von VulDB • 03.09.2026
HTTPX2 ist ein HTTP-Client der nächsten Generation für Python. Vor Version 2.10.0 schlägt httpcore2 fehl, die TLS-Verschlüsselung in src/httpcore2/httpcore2/_sync/socks_proxy.py und src/httpcore2/httpcore2/_async/socks_proxy.py zu initiieren, wenn das Remote-Target wss über einen SOCKS5-Proxy verwendet, da die Bedingung für den TLS-Upgrade nur https erkennt. HTTPX2 macht diese Schwachstelle durch Client.websocket() und AsyncClient.websocket() in den Versionen 2.6.0 bis 2.9.1 verfügbar, sodass der Opening Handshake, Abfrageparameter (Query Parameters), Authorization-Headers, Cookies und nachfolgende Frames im Klartext über den Proxy-Pfad gesendet werden können, ohne dass eine Zertifikatsprüfung erfolgt. Ein Angreifer, der diesen Pfad kontrolliert oder beobachtet, kann den Datenverkehr lesen oder modifizieren sowie den WebSocket-Server impersonisieren (identitätsbetrügerisch vorgeben). Dieses Problem wurde in httpcore2 2.10.0 und HTTPX2 2.10.0 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.