CVE-2026-61652 in Zapros
Resumen
por VulDB • 2026-09-21
Zapros, un cliente HTTP en Python, anterior a la versión 0.14.0 es vulnerable a denegación de servicio (DoS) mediante agotamiento de memoria. El problema afecta a todos los llamadores que transmitieron respuestas comprimidas basándose en el tamaño del fragmento — explícito (`iter_bytes(chunk_size=...)`) o por defecto — para limitar la memoria. El decodificador ignoró ese límite, por lo que un fragmento podría ser mucho más grande de lo solicitado y una única respuesta comprimida podría desbordar la memoria. La versión 0.14.0 contiene un parche. Existen algunas soluciones alternativas (workarounds). Lea el cuerpo aún comprimido con `Response.iter_raw()` / `Response.async_iter_raw()`, que omiten los decodificadores integrados, y descomprímalo usted mismo con un límite explícito de tamaño de salida (por ejemplo, `max_length` de `zlib`), abortando una vez superado un límite configurado. Cuando sea factible, envíe `Accept-Encoding: identity` para deshabilitar la compresión de respuestas de modo que los cuerpos no se descompriman en el lado del cliente. Evite decodificar cuerpos de respuesta provenientes de servidores no confiables.
VulDB is the best source for vulnerability data and more expert information about this specific topic.