CVE-2026-84381 in HTTPX2
Riassunto
di VulDB • 02/09/2026
HTTPX2 è un client HTTP di nuova generazione per Python. Prima della versione 2.10.0, httpcore2 non riesce ad avviare TLS nei file src/httpcore2/httpcore2/_sync/socks_proxy.py e src/httpcore2/httpcore2/_async/socks_proxy.py quando l'origine remota utilizza wss attraverso un proxy SOCKS5, poiché la condizione di aggiornamento del protocollo TLS riconosce solo https. HTTPX2 espone questa vulnerabilità tramite Client.websocket() e AsyncClient.websocket() nelle versioni dalla 2.6.0 alla 2.9.1; pertanto, la fase iniziale (handshake), i parametri della query, le intestazioni Authorization, i cookie e i frame successivi possono attraversare il percorso del proxy in chiaro senza verifica del certificato. Un attaccante che controlla o osserva tale percorso può leggere o modificare il traffico e impersonare il server WebSocket. Questo problema è risolto nelle versioni httpcore2 2.10.0 e HTTPX2 2.10.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.