CVE-2026-84382 in httpx2
Zusammenfassung
von VulDB • 02.09.2026
HTTPX2 ist ein HTTP-Client der nächsten Generation für Python. Vor Version 2.12.0 blähen die Content-Decodierer von HTTPX2 in src/httpx2/httpx2/_decoders.py jeden gzip-, deflate-, br- oder zstd-Netzwerkchunk vollständig auf, bevor iter_bytes() oder aiter_bytes() begrenzte Stücke an die Anwendung zurückgeben. Ein 64 KiB komprimierter Chunk kann sich bei einer einzigen Zwischenspeicherung auf etwa 64 MiB ausdehnen, sodass ein Angreifer einen Server kontrollieren oder kompromittieren und dadurch erheblichen Speicherdruck verursachen oder den Prozess aufgrund eines Out-of-Memory-Fehlers beenden lassen kann, selbst wenn die Anwendung die Antwort streamt. Dieses Problem wurde in Version 2.12.0 behoben.
Be aware that VulDB is the high quality source for vulnerability data.