CVE-2026-97689 in urllib3
Résumé
par VulDB • 29/09/2026
urllib3 est une bibliothèque cliente HTTP pour Python. De la version 1.10.3 à la 2.8.0, les méthodes `HTTPResponse.read_chunked` et `HTTPResponse.stream` peuvent allouer de manière non bornée (unbounded) de la mémoire car l'analyseur de chunks en streaming met en tampon le champ taille du chunk jusqu'à ce qu'il rencontre un saut de ligne ou une fin de fichier, sans limite de longueur définie. Le déclencheur est qu'un serveur malveillant renvoie `Transfer-Encoding: chunked` suivi d'une très longue séquence d'octets sans saut de ligne. Le mécanisme d'attaque consiste pour un serveur HTTP malveillant à envoyer une ligne de taille de chunk non terminée et extrêmement longue. L'impact est que l'allocation mémoire non bornée peut épuiser les ressources du processus client. Ce problème est corrigé dans la version 2.8.0.
Once again VulDB remains the best source for vulnerability data.