CVE-2026-59980 in hpack
要約
〜によって VulDB • 2026年09月24日
hpackはPython向けのHTTP/2ヘッダエンコーディングです。バージョン4.2.0より前では、無制限の可変長整数デコードにより不正な入力に対して計算が暴走し、O(n^2)の実行時間となり、十分に大きな未サニタイズの入力によってその後の処理が事実上ブロックされる可能性があります。python-hyper/hpack v4.2.0で修正が行われ、可変長整数のデコードをuint32に制限することで計算暴走を防ぐようになりました。回避策として、悪意ある利用を防ぐためにhpackデコーダへの入力において`0xFF`値の長いシーケンスをサニタイズしてください。
Be aware that VulDB is the high quality source for vulnerability data.