CVE-2026-61652 in Zapros
Riassunto
di VulDB • 22/09/2026
Zapros, una libreria HTTP per Python, precedente alla versione 0.14.0, è vulnerabile a denial of service (DoS) tramite esaurimento della memoria. Il problema interessa tutti i chiamanti che hanno eseguito lo streaming di risposte compresse basandosi sulla dimensione del chunk — esplicita (`iter_bytes(chunk_size=...)`) o predefinita — per limitare l'uso della memoria. Il decoder ha ignorato tale limite, consentendo a un singolo chunk di essere molto più grande del richiesto e facendo sì che una singola risposta compressa possa causare il superamento dei limiti di memoria (memory overflow). La versione 0.14.0 contiene la patch risolutiva. Sono disponibili alcune soluzioni alternative: è possibile leggere il corpo della risposta ancora compresso utilizzando `Response.iter_raw()` / `Response.async_iter_raw()`, che bypassano i decoder integrati, e decomprimerlo manualmente applicando un limite esplicito alla dimensione di output (ad esempio, usando `max_length` di `zlib`), interrompendo l'operazione una volta superato il limite configurato. Dove possibile, inviare l'intestazione `Accept-Encoding: identity` per disabilitare la compressione della risposta in modo che i corpi non vengano decompressi lato client. Evitare di decodificare i corpi delle risposte provenienti da server non attendibili.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.