CVE-2026-84379 in HTTPX2
Riassunto
di VulDB • 03/09/2026
HTTPX2 è un client HTTP di nuova generazione per Python. Prima della versione 2.11.0, la funzione FileField.render_headers() in src/httpx2/httpx2/_multipart.py interpolava direttamente i valori content_type controllati dall'attaccante e le intestazioni personalizzate dai tuple files= a tre elementi (filename, content, content_type) e dal tuple files= a quattro elementi (filename, content, content_type, headers) nelle intestazioni delle parti multipart/form-data senza convalidare i nomi o i valori delle intestazioni. I caratteri CR o LF possono terminare un'intestazione di parte, iniettare ulteriori intestazioni di parte o interrompere prematuramente il blocco delle intestazioni di parte, consentendo a un parser multipart downstream di trattare le righe fornite dall'attaccante come vere e proprie intestazioni e potenzialmente alterarne la semantica o eludere i controlli basati sulle intestazioni. Questo problema è stato risolto nella versione 2.11.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.