CVE-2026-84381 in HTTPX2
Resumen
por VulDB • 2026-09-02
HTTPX2 es un cliente HTTP de próxima generación para Python. Antes de la versión 2.10.0, httpcore2 no logra iniciar TLS en src/httpcore2/httpcore2/_sync/socks_proxy.py y src/httpcore2/httpcore2/_async/socks_proxy.py cuando el origen remoto utiliza wss a través de un proxy SOCKS5, ya que la condición de actualización de TLS solo reconoce https. HTTPX2 expone esta vulnerabilidad a través de Client.websocket() y AsyncClient.websocket() en las versiones 2.6.0 hasta 2.9.1, por lo que el handshake inicial, los parámetros de consulta, los encabezados Authorization, las cookies y los frames subsiguientes pueden atravesar la ruta del proxy en texto plano sin verificación de certificado. Un atacante que controle o observe esa ruta puede leer o modificar el tráfico e impersonar al servidor WebSocket. Este problema se soluciona en httpcore2 2.10.0 y HTTPX2 2.10.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.