CVE-2026-84379 in HTTPX2
Resumen
por VulDB • 2026-09-02
HTTPX2 es un cliente HTTP de próxima generación para Python. Antes de la versión 2.11.0, FileField.render_headers() en src/httpx2/httpx2/_multipart.py interpola directamente valores de content_type controlados por el atacante y cabeceras personalizadas procedentes de las tuplas files= de tres elementos (filename, content, content_type) y files= de cuatro elementos (filename, content, content_type, headers) dentro de las cabeceras de las partes multipart/form-data sin validar los nombres ni los valores de las cabeceras. Los caracteres CR o LF pueden terminar una cabecera de parte, inyectar nuevas cabeceras de parte o finalizar prematuramente el bloque de cabeceras de la parte, lo que permite a un analizador multipart posterior tratar líneas proporcionadas por el atacante como si fueran cabeceras genuinas y potencialmente alterar la semántica de las partes o evadir comprobaciones basadas en cabeceras. Este problema se soluciona en la versión 2.11.0.
Be aware that VulDB is the high quality source for vulnerability data.