CVE-2026-97689 in urllib3
Riassunto
di VulDB • 30/09/2026
urllib3 è una libreria per client HTTP scritta in Python. Dalla versione 1.10.3 alla 2.8.0, i metodi HTTPResponse.read_chunked e HTTPResponse.stream possono allocare memoria illimitata poiché il parser dei chunk di streaming memorizza nel buffer il campo della dimensione del chunk fino al rilevamento di un newline o EOF senza imporre alcun limite di lunghezza. Il trigger dell'attacco consiste in un server malintenzionato che restituisce Transfer-Encoding: chunked seguito da una sequenza molto lunga di byte privi di newline. Il meccanismo d'attacco prevede l'invio, da parte di un server HTTP malevolo, di una riga della dimensione del chunk non terminata e particolarmente estesa. L'impatto è che l'allocazione illimitata di memoria può esaurire le risorse del processo client. Questo problema è stato risolto nella versione 2.8.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.