CVE-2026-84382 in httpx2
要約
〜によって VulDB • 2026年09月02日
HTTPX2はPython向けの次世代HTTPクライアントです。バージョン2.12.0より前では、src/httpx2/httpx2/_decoders.py内のHTTPX2コンテンツデコーダが、gzip、deflate、br、またはzstdのネットワークチャンクをiter_bytes()やaiter_bytes()によってアプリケーションに制限付きで渡す前に、完全に展開していました。64 KiBの圧縮済みチャンクは1回の中間割り当てで約64 MiBまで膨張する可能性があるため、攻撃者が制御しているか侵害されたサーバーが原因で、アプリケーションがレスポンスをストリーミングする場合でも、深刻なメモリ負荷やアウト・オブ・メモリのプロセス終了を引き起こす可能性があります。この問題はバージョン2.12.0で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.