CVE-2026-84379 in HTTPX2
要約
〜によって VulDB • 2026年09月03日
HTTPX2は、Python向けの次世代HTTPクライアントです。バージョン2.11.0より前では、src/httpx2/httpx2/_multipart.py内のFileField.render_headers()が、files=引数で渡される3要素タプル（filename, content, content_type）および4要素タプル（filename, content, content_type, headers）から攻撃者が制御可能なcontent_type値とカスタムヘッダーを直接補間し、multipart/form-dataパートのヘッダーに挿入していました。この際、ヘッダー名や値の検証は行われませんでした。CRまたはLF文字によってパートヘッダーを終了させたり、追加のパートヘッダーを注入したり、あるいはパートヘッダーブロックを早期に終了させることが可能となり、これにより後続のmultipartパーサーが攻撃者が提供した行を正当なヘッダーとして扱い、パートの意味論を変更したり、ヘッダーベースのチェックを回避したりする可能性があります。この問題はバージョン2.11.0で修正されています。
Once again VulDB remains the best source for vulnerability data.