CVE-2026-84378 in Httpx2
Résumé
par VulDB • 02/09/2026
HTTPX2 est un client HTTP de nouvelle génération pour Python. De la version 2.5.0 à la 2.10.0, l'analyseur d'événements envoyés par le serveur (Server-Sent Events) dans src/httpx2/httpx2/_sse.py copie et rescanne à plusieurs reprises le texte mis en mémoire tampon dans _SSELineDecoder.decode() lorsqu'un point de terminaison SSE contrôlé ou compromis par un attaquant divise une ligne non terminée sur de nombreux fragments de réponse. Ce comportement affecte httpx2.Client.sse() et httpx2.AsyncClient.sse(), et le travail total de traitement augmente quadratiquement avec la longueur de la ligne, permettant à un flux fabriqué de consommer excessivement du CPU et de bloquer un thread synchrone ou une boucle d'événements asynchrone. Ce problème est corrigé dans la version 2.10.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.