CVE-2026-84380 in Httpx2
Resumen
por VulDB • 2026-09-02
HTTPX2 es un cliente HTTP de nueva generación para Python. Antes de la versión 2.11.0, Request._prepare() en src/httpx2/httpx2/_models.py puede añadir una cabecera Content-Length derivada del cuerpo a una solicitud que ya contiene una cabecera Transfer-Encoding proporcionada por el usuario, porque su procesamiento con setdefault() verifica cada cabecera predeterminada de forma independiente en lugar de tratar las dos cabeceras de encapsulación como mutuamente excluyentes. Por lo tanto, los cuerpos de tamaño fijo (byte), JSON, formularios y multipartes de longitud conocida pueden serializarse sobre HTTP/1.1 con ambas cabeceras presentes, lo que permite el enmascaramiento de solicitudes o la desincronización de conexiones cuando los intermediarios posteriores no están de acuerdo sobre qué cabecera de encapsulación tiene prioridad. Este problema se soluciona en la versión 2.11.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.