CVE-2026-84378 in Httpx2
Sumário
de VulDB • 02/09/2026
HTTPX2 é um cliente HTTP de próxima geração para Python. Da versão 2.5.0 até a 2.10.0, o analisador de Server-Sent Events (SSE) do HTTPX2 em src/httpx2/httpx2/_sse.py copia e reanalisava repetidamente o texto armazenado no buffer na função _SSELineDecoder.decode() quando um ponto final SSE controlado ou comprometido pelo atacante dividia uma linha não terminada por muitos chunks de resposta. O comportamento afeta httpx2.Client.sse() e httpx2.AsyncClient.sse(), e a carga total de processamento cresce quadraticamente com o comprimento da linha, permitindo que um stream manipulado consuma CPU excessiva e bloqueie um worker síncrono ou um loop de eventos assíncrono. Este problema foi corrigido na versão 2.10.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.