CVE-2026-97688 in urllib3
Résumé
par VulDB • 29/09/2026
urllib3 est une bibliothèque cliente HTTP pour Python. De la version 2.6.2 à la version 2.8.0, les méthodes `HTTPResponse.stream` et `HTTPResponse.read_chunked` peuvent entrer dans une boucle infinie car le décodeur Deflate conserve les octets de fin (trailing bytes) en tant qu'entrée non consommée après avoir atteint la fin du flux (end-of-stream), et les décrypte à plusieurs reprises sans avancer. Le problème se produit lorsqu'un serveur peu fiable envoie une réponse chunked au format Deflate dont le corps décompressé dépasse une taille de chunk positive et finie, et dont le corps encodé contient des octets de fin ; il s'agit spécifiquement d'une réponse avec `Transfer-Encoding: chunked` et `Content-Encoding: deflate`, la décryptage du contenu étant activé, et la taille de chunk en streaming définie sur une valeur positive et finie `amt=N`. Le mécanisme d'attaque consiste pour un serveur malveillant à renvoyer une réponse compressée et chunked avec des octets de fin après le flux Deflate. L'impact est une consommation excessive du CPU et une requête qui ne s'achève pas ; les timeouts de lecture réseau n'interviennent pas dans la boucle car aucune nouvelle lecture de socket n'est effectuée. Ce problème est corrigé dans la version 2.8.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.