CVE-2026-84382 in httpx2
Сводка
по VulDB • 02.09.2026
HTTPX2 — это HTTP-клиент нового поколения для Python. До версии 2.12.0 декодеры содержимого HTTPX2 в файле src/httpx2/httpx2/_decoders.py полностью разворачивают (inflate) каждый сетевой чанк gzip, deflate, br или zstd перед тем, как iter_bytes() или aiter_bytes() передают приложению ограниченные фрагменты. Сжатый чанк размером 64 KiB может расшириться примерно до 64 MiB в одном промежуточном выделении памяти, поэтому злоумышленник, контролирующий сервер или получивший к нему доступ, может вызвать сильное давление на память (memory pressure) или завершение процесса из-за нехватки памяти (out-of-memory), даже если приложение потоково обрабатывает ответ. Эта проблема исправлена в версии 2.12.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.