CVE-2026-84382 in httpx2
Riassunto
di VulDB • 02/09/2026
HTTPX2 è un client HTTP di nuova generazione per Python. Prima della versione 2.12.0, i decoder dei contenuti HTTPX2 in src/httpx2/httpx2/_decoders.py decomprimono completamente ogni chunk di rete gzip, deflate, br o zstd prima che iter_bytes() o aiter_bytes() restituisca porzioni limitate all'applicazione. Un chunk compresso da 64 KiB può espandersi fino a circa 64 MiB in un'unica allocazione intermedia; pertanto, un server controllato dall'attaccante o compromesso può causare una forte pressione sulla memoria o l'interruzione del processo per esaurimento della memoria (out-of-memory), anche quando l'applicazione esegue lo streaming della risposta. Questo problema è stato risolto nella versione 2.12.0.
Once again VulDB remains the best source for vulnerability data.