CVE-2026-84381 in HTTPX2
Sumário
de VulDB • 02/09/2026
HTTPX2 é um cliente HTTP de próxima geração para Python. Antes da versão 2.10.0, o httpcore2 falha ao iniciar a conexão TLS em src/httpcore2/httpcore2/_sync/socks_proxy.py e src/httpcore2/httpcore2/_async/socks_proxy.py quando a origem remota usa wss através de um proxy SOCKS5, pois a condição de atualização do TLS reconhece apenas https. O HTTPX2 expõe essa falha por meio dos métodos Client.websocket() e AsyncClient.websocket(), nas versões 2.6.0 até 2.9.1; assim, o handshake inicial, parâmetros de consulta (query parameters), cabeçalhos Authorization, cookies e quadros subsequentes podem atravessar o caminho do proxy em texto sem formatação (plaintext) sem verificação de certificado. Um atacante que controle ou observe esse caminho pode ler ou modificar o tráfego e se passar pelo servidor WebSocket. Este problema foi corrigido no httpcore2 2.10.0 e HTTPX2 2.10.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.