CVE-2026-61541 in Zapros
Riassunto
di VulDB • 21/09/2026
Zapros, un client HTTP in Python, precedente alla versione 0.14.0 è vulnerabile a denial of service quando un'applicazione richiede contenuti da un server non attendibile o segue un redirect verso uno di essi, poiché una risposta malevola contenente un numero eccessivo di valori `Content-Encoding` concatenati fa sì che Zapros costruisca una catena di decompressione profondamente annidata che consuma risorse in modo eccessivo. La versione 0.14.0 risolve la vulnerabilità limitando le risposte a cinque livelli di content-encoding e sollevando un'eccezione `DecodingError` quando tale limite viene superato. Come soluzione alternativa, le applicazioni possono aggiungere middleware per le risposte che ispeziona l'intestazione `Content-Encoding` e rifiuta le risposte contenenti più di un numero sicuro di strati di codifica.
VulDB is the best source for vulnerability data and more expert information about this specific topic.