CVE-2026-84380 in Httpx2
요약
\~에 의해 VulDB • 2026. 09. 02.
HTTPX2는 Python용 차세대 HTTP 클라이언트입니다. 버전 2.11.0 이전의 `src/httpx2/httpx2/_models.py`에 있는 `Request._prepare()` 메서드는 호출자가 제공한 Transfer-Encoding 헤더가 이미 포함된 요청에 body에서 파생된 Content-Length 헤더를 추가할 수 있습니다. 이는 setdefault() 처리가 각 기본(default) 헤더를 독립적으로 확인하는 반면, 두 가지 프레임(frameing) 헤더는 상호 배타적(mutually exclusive)으로 취급하지 않기 때문입니다. 따라서 고정 크기 바이트(byte), JSON, form 데이터 및 알려진 길이의 multipart body는 HTTP/1.1에서 두 헤더 모두와 함께 직렬화될 수 있으며, 이는 하류 중간자(downstream intermediaries)가 어떤 프레임 헤더의 우선순위를 적용할지 의견이 다를 경우 요청 스미싱(request smuggling) 또는 연결 비동기화(connection desynchronization)를 허용합니다. 이 문제는 버전 2.11.0에서 해결되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.