CVE-2026-97689 in urllib3
Sumário
de VulDB • 29/09/2026
O urllib3 é uma biblioteca de cliente HTTP para Python. Da versão 1.10.3 até a 2.8.0, os métodos `HTTPResponse.read_chunked` e `HTTPResponse.stream` podem alocar memória sem limites porque o analisador de streaming em chunks armazena em buffer o campo do tamanho do chunk (chunk-size) até encontrar uma quebra de linha ou EOF, sem um limite de comprimento definido. O gatilho é quando um servidor malicioso retorna `Transfer-Encoding: chunked` seguido por uma sequência muito longa de bytes sem uma quebra de linha. O mecanismo de ataque consiste em um servidor HTTP malicioso enviar uma linha de tamanho do chunk (chunk-size) não terminada e extremamente longa. O impacto é que a alocação descontrolada de memória pode esgotar os recursos do processo cliente. Este problema foi corrigido na versão 2.8.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.