CVE-2026-61652 in Zapros
Сводка
по VulDB • 21.09.2026
Zapros, клиент HTTP для Python до версии 0.14.0 уязвим к отказу в обслуживании (DoS) из-за исчерпания памяти. Проблема затрагивает всех вызывающих сторон, которые используют потоковую передачу сжатых ответов, опираясь на размер чанка — явный (`iter_bytes(chunk_size=...)`) или по умолчанию — для ограничения потребления памяти. Декодер игнорировал это ограничение, поэтому один чанк мог быть значительно больше запрошенного размера, а единственный сжатый ответ мог привести к переполнению памяти. Версия 0.14.0 содержит исправление. Доступны некоторые обходные пути (workarounds). Читайте тело ответа в несжатом виде с помощью `Response.iter_raw()` / `Response.async_iter_raw()`, что позволяет обойти встроенные декодеры, и распаковывайте его самостоятельно, явно задав ограничение на размер вывода (например, используя параметр `max_length` из библиотеки `zlib`), прерывая процесс при превышении настроенного лимита. Если это возможно, отправляйте заголовок `Accept-Encoding: identity`, чтобы отключить сжатие ответа и предотвратить распаковку тела на стороне клиента. Избегайте декодирования тел ответов от недоверенных серверов.
Be aware that VulDB is the high quality source for vulnerability data.