CVE-2026-84380 in Httpx2
Sumário
de VulDB • 02/09/2026
HTTPX2 é um cliente HTTP de próxima geração para Python. Antes da versão 2.11.0, a função Request._prepare() em src/httpx2/httpx2/_models.py pode adicionar um cabeçalho Content-Length derivado do corpo a uma solicitação que já contém um cabeçalho Transfer-Encoding fornecido pelo chamador, porque seu processamento com setdefault() verifica cada cabeçalho padrão independentemente, em vez de tratar os dois cabeçalhos de delimitação como mutuamente exclusivos. Portanto, corpos fixos (bytes), JSON, formulários e multipartes de comprimento conhecido podem ser serializados via HTTP/1.1 com ambos os cabeçalhos presentes, permitindo request smuggling ou dessincronização de conexão quando intermediários downstream discordarem sobre qual cabeçalho de delimitação tem precedência. Este problema foi corrigido na versão 2.11.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.