CVE-2026-84381 in HTTPX2
Résumé
par VulDB • 02/09/2026
HTTPX2 est un client HTTP de nouvelle génération pour Python. Avant la version 2.10.0, httpcore2 ne parvenait pas à initier TLS dans src/httpcore2/httpcore2/_sync/socks_proxy.py et src/httpcore2/httpcore2/_async/socks_proxy.py lorsque l'origine distante utilisait wss via un proxy SOCKS5, car la condition de mise à niveau TLS reconnaissait uniquement https. HTTPX2 expose cette vulnérabilité via Client.websocket() et AsyncClient.websocket(), des versions 2.6.0 à 2.9.1 incluses ; ainsi, l'échange d'ouverture (handshake), les paramètres de requête, les en-têtes Authorization, les cookies et les trames ultérieures peuvent traverser le chemin du proxy en clair sans vérification de certificat. Un attaquant contrôlant ou observant ce chemin peut lire ou modifier le trafic et usurper l'identité du serveur WebSocket. Ce problème est corrigé dans httpcore2 2.10.0 et HTTPX2 2.10.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.