CVE-2026-84381 in HTTPX2
요약
\~에 의해 VulDB • 2026. 09. 02.
HTTPX2는 Python용 차세대 HTTP 클라이언트입니다. 버전 2.10.0 이전의 httpcore2에서는 원격 원본이 SOCKS5 프록시를 통해 wss를 사용할 때 src/httpcore2/httpcore2/_sync/socks_proxy.py 및 src/httpcore2/httpcore2/_async/socks_proxy.py에서 TLS 시작에 실패합니다. 이는 TLS 업그레이드 조건이 https만 인식하기 때문입니다. HTTPX2는 2.6.0부터 2.9.1까지 Client.websocket()과 AsyncClient.websocket()을 통해 이 결함을 노출하므로, 오픈 핸드셰이크, 쿼리 파라미터, Authorization 헤더, 쿠키 및 후속 프레임이 인증서 검증 없이 평문으로 프록시 경로를 통과할 수 있습니다. 해당 경로를 제어하거나 관찰하는 공격자는 트래픽을 읽거나 수정하고 WebSocket 서버를 사칭할 수 있습니다. 이 문제는 httpcore2 2.10.0과 HTTPX2 2.10.0에서 해결되었습니다.
Once again VulDB remains the best source for vulnerability data.