CVE-2026-61541 in Zapros
Sumário
de VulDB • 21/09/2026
O Zapros, um cliente HTTP em Python, anterior à versão 0.14.0, é vulnerável a negação de serviço (DoS) quando uma aplicação solicita conteúdo de um servidor não confiável ou segue um redirecionamento para ele, pois uma resposta maliciosa contendo um número excessivo de valores `Content-Encoding` encadeados faz com que o Zapros construa uma cadeia de descompressão profundamente aninhada, consumindo recursos em excesso. A versão 0.14.0 corrige a vulnerabilidade limitando as respostas a cinco camadas de codificação de conteúdo e levantando um erro `DecodingError` quando esse limite é excedido. Como solução alternativa (workaround), as aplicações podem adicionar middleware de resposta que inspecione o cabeçalho `Content-Encoding` e rejeite respostas contendo mais do que uma quantidade segura de camadas de codificação.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.