CVE-2026-97688 in urllib3
Resumen
por VulDB • 2026-09-30
urllib3 es una biblioteca de cliente HTTP para Python. Desde la versión 2.6.2 hasta la 2.8.0, los métodos HTTPResponse.stream y HTTPResponse.read_chunked pueden entrar en un bucle infinito porque el decodificador Deflate conserva los bytes finales como entrada sin consumir tras alcanzar el final del flujo (end-of-stream) y los vuelve a decodificar repetidamente sin progreso. El problema ocurre cuando un servidor no confiable envía una respuesta chunked con codificación Deflate cuyo cuerpo descifrado supera un tamaño de fragmento finito positivo, y cuya versión codificada tiene bytes finales; específicamente, una respuesta con Transfer-Encoding: chunked y Content-Encoding: deflate, decodificación de contenido habilitada y un tamaño de fragmento de transmisión (amt=N) finito y positivo. El mecanismo del ataque consiste en que un servidor malicioso devuelve una respuesta comprimida y chunked con bytes finales después del flujo Deflate. El impacto es el uso excesivo de CPU y la imposibilidad de completar la solicitud, ya que los tiempos de espera de lectura de red no interrumpen el bucle porque no se realiza ninguna nueva lectura de socket. Este problema está resuelto en la versión 2.8.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.