CVE-2026-84378 in Httpx2
要約
〜によって VulDB • 2026年09月02日
HTTPX2はPython向けの次世代HTTPクライアントです。バージョン2.5.0から2.10.0の間、src/httpx2/httpx2/_sse.pyにあるHTTPX2のServer-Sent Events (SSE) パーサーには脆弱性があり、攻撃者が制御または侵害したSSEエンドポイントが未終了の行を複数のレスポンスチャンクに分割して送信した場合、_SSELineDecoder.decode()内でバッファリングされたテキストが繰り返しコピーおよび再スキャンされます。この動作はhttpx2.Client.sse()およびhttpx2.AsyncClient.sse()に影響し、処理総量は行長に対して二次関数的に増加するため、悪意のあるストリームによってCPUリソースが過剰に消費され、同期ワーカーまたは非同期イベントループがブロックされる可能性があります。この問題はバージョン2.10.0で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.