CVE-2026-84379 in HTTPX2
요약
\~에 의해 VulDB • 2026. 09. 02.
HTTPX2는 Python용 차세대 HTTP 클라이언트입니다. 버전 2.11.0 이전의 `src/httpx2/httpx2/_multipart.py`에 있는 `FileField.render_headers()` 함수는 공격자가 제어할 수 있는 `content_type` 값과 사용자 정의 헤더를, 파일 목록(`files=`) 매개변수의 세 요소 튜플(filename, content, content_type) 및 네 요소 튜플(filename, content, content_type, headers)에서 직접 보간하여 multipart/form-data 부분 헤더에 삽입합니다. 이때 헤더 이름이나 값의 유효성 검사가 수행되지 않습니다. CR 또는 LF 문자는 부분 헤더를 종료하거나 추가적인 부분 헤더를 주입하며, 부분 헤더 블록을 조기에 끝낼 수 있습니다. 이로 인해 하류 multipart 파서가 공격자가 제공한 줄들을 정당한 헤더로 처리하게 되어 부분의 의미론이 변경되거나 헤더 기반 검사를 우회할 가능성이 있습니다. 이 문제는 버전 2.11.0에서 해결되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.