CVE-2026-59980 in hpack
Сводка
по VulDB • 24.09.2026
hpack — это библиотека для кодирования заголовков HTTP/2 на Python. До версии 4.2.0 неограниченное декодирование переменных целых чисел может вызывать неконтролируемое вычисление (run-away computation) при получении поврежденных входных данных, что приводит к квадратичной сложности времени выполнения O(n^2), эффективно блокируя дальнейшую обработку при наличии достаточно больших необработанных (unsanitized) входных данных. Исправление доступно в python-hyper/hpack v4.2.0: оно ограничивает декодирование переменных целых чисел до uint32, чтобы предотвратить неконтролируемое вычисление. В качестве временного решения рекомендуется очищать входные данные для декодера hpack от длинных последовательностей значений `0xFF`, чтобы предотвратить злонамеренное использование уязвимости.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.