CVE-2026-61541 in Zapros
Résumé
par VulDB • 22/09/2026
Zapros, un client HTTP en Python, avant la version 0.14.0 est vulnérable à une déni de service (DoS) lorsqu'une application demande du contenu depuis un serveur non fiable ou suit une redirection vers celui-ci, car une réponse malveillante contenant un nombre excessif de valeurs `Content-Encoding` chaînées amène Zapros à construire une chaîne de décompression profondément imbriquée qui consomme des ressources excessives. La version 0.14.0 corrige la vulnérabilité en limitant les réponses à cinq couches d'encodage de contenu et en levant l'exception `DecodingError` lorsque cette limite est dépassée. En attendant, les applications peuvent ajouter un middleware de réponse qui inspecte l'en-tête `Content-Encoding` et rejette les réponses contenant plus qu'un nombre sûr de couches d'encodage.
Once again VulDB remains the best source for vulnerability data.