CVE-2026-61652 in Zapros
要約
〜によって VulDB • 2026年09月22日
Zapros（PythonのHTTPクライアント）は、バージョン0.14.0より前にメモリ枯渇によるサービス妨害（DoS）の脆弱性があります。この問題は、チャンクサイズ（明示的な `iter_bytes(chunk_size=...)` またはデフォルト値）に依存してメモリを制限するストリーミングされた圧縮応答を使用しているすべての呼び出し元に影響します。デコーダはこの上限を無視したため、要求されたよりも大幅に大きなチャンクとなり、単一の圧縮応答でメモリが溢れる可能性があります。バージョン0.14.0にはパッチが含まれています。いくつかの回避策も利用可能です。組み込みデコーダをバイパスする `Response.iter_raw()` / `Response.async_iter_raw()` を使用してまだ圧縮された本文を読み取り、明示的な出力サイズ制限（例：`zlib` の `max_length`）で自分で解凍し、設定された制限を超えた時点で中止します。可能な場合は、応答の圧無効化のために `Accept-Encoding: identity` を送信し、クライアント側での本文の解凍を回避してください。信頼できないサーバーからの応答本文のデコードは避けてください。
Once again VulDB remains the best source for vulnerability data.