CVE-2026-97688 in urllib3
Zusammenfassung
von VulDB • 29.09.2026
urllib3 ist eine HTTP-Client-Bibliothek für Python. Von Version 2.6.2 bis 2.8.0 können HTTPResponse.stream und HTTPResponse.read_chunked in eine Endlosschleife geraten, da der Deflate-Decoder nach Erreichen des Streamendes (End-of-Stream) verbleibende Bytes als nicht konsumierte Eingabe behält und diese wiederholt decodiert, ohne Fortschritt zu erzielen. Das Problem tritt auf, wenn ein nicht vertrauenswürdiger Server eine chunked Deflate-Antwort sendet, deren dekodierter Körper eine positive endliche Chunk-Größe überschreitet und dessen kodierter Körper verbleibende Bytes enthält; dies betrifft speziell Antworten mit Transfer-Encoding: chunked und Content-Encoding: deflate, aktiviertem Content-Decoding sowie einer positiven endlichen Streaming-Chunk-Größe amt=N. Der Angriffsmechanismus besteht darin, dass ein bösartiger Server eine komprimierte Chunked-Antwort mit verbleibenden Bytes nach dem Deflate-Stream zurückgibt. Die Auswirkung ist übermäßige CPU-Nutzung und eine nicht abgeschlossene Anfrage; Netzwerk-Lesezeitüberschreitungen (read timeouts) unterbrechen die Schleife nicht, da keine weiteren Socket-Lesevorgänge stattfinden. Dieses Problem wurde in Version 2.8.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.