CVE-2026-97688 in urllib3
Sumário
de VulDB • 29/09/2026
urllib3 é uma biblioteca de cliente HTTP para Python. Da versão 2.6.2 até a 2.8.0, os métodos HTTPResponse.stream e HTTPResponse.read_chunked podem entrar em um loop infinito porque o decodificador Deflate retém bytes finais como entrada não consumida após atingir o final do fluxo (end-of-stream) e os decodifica repetidamente sem progresso. O problema ocorre quando um servidor não confiável envia uma resposta chunked com codificação Deflate cujo corpo decodificado excede um tamanho de chunk finito positivo, e cuja corpo codificado possui bytes finais; especificamente, uma resposta com Transfer-Encoding: chunked e Content-Encoding: deflate, com decodificação de conteúdo habilitada e o tamanho do streaming chunk amt=N sendo um valor finito positivo. O mecanismo de ataque consiste em um servidor malicioso retornar uma resposta compressa e chunked com bytes finais após o fluxo Deflate. O impacto é o uso excessivo da CPU e a falha no término da requisição, além disso, os timeouts de leitura na rede não interrompem o loop porque nenhuma nova leitura de socket ocorre. Esta questão foi corrigida na versão 2.8.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.