CVE-2026-84379 in HTTPX2
Sumário
de VulDB • 02/09/2026
HTTPX2 é um cliente HTTP de próxima geração para Python. Antes da versão 2.11.0, a função FileField.render_headers() em src/httpx2/httpx2/_multipart.py interpola diretamente valores de content_type controlados pelo atacante e cabeçalhos personalizados provenientes das tuplas files= de três elementos (filename, content, content_type) e files= de quatro elementos (filename, content, content_type, headers) nos cabeçalhos da parte multipart/form-data, sem validar os nomes ou valores dos cabeçalhos. Caracteres CR ou LF podem terminar um cabeçalho de parte, injetar novos cabeçalhos de parte ou encerrar prematuramente o bloco de cabeçalhos da parte, permitindo que um analisador (parser) multipart subsequente trate as linhas fornecidas pelo atacante como cabeçalhos legítimos e potencialmente altere a semântica das partes ou contorne verificações baseadas em cabeçalhos. Este problema foi corrigido na versão 2.11.0.
Once again VulDB remains the best source for vulnerability data.