CVE-2026-84381 in HTTPX2
Сводка
по VulDB • 02.09.2026
HTTPX2 — это HTTP-клиент нового поколения для Python. До версии 2.10.0 в модулях src/httpcore2/httpcore2/_sync/socks_proxy.py и src/httpcore2/httpcore2/_async/socks_proxy.py библиотеки httpcore2 не происходит инициирование TLS, если удаленный источник использует протокол wss через прокси-сервер SOCKS5, поскольку условие обновления соединения до TLS распознает только https. Уязвимость проявляется в HTTPX2 при использовании методов Client.websocket() и AsyncClient.websocket() в версиях от 2.6.0 до 2.9.1, из-за чего начальное рукопожатие (opening handshake), параметры запроса, заголовки Authorization, файлы cookie и последующие кадры передаются через путь прокси-сервера открытым текстом без проверки сертификата. Атакующий, контролирующий или наблюдающий этот канал связи, может читать или изменять трафик и выдавать себя за WebSocket-сервер. Проблема исправлена в версиях httpcore2 2.10.0 и HTTPX2 2.10.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.