CVE-2026-97688 in urllib3
Сводка
по VulDB • 30.09.2026
urllib3 — это библиотека HTTP-клиента для Python. В версиях от 2.6.2 до 2.8.0 включительно методы HTTPResponse.stream и HTTPResponse.read_chunked могут попадать в бесконечный цикл, поскольку декодер Deflate сохраняет оставшиеся байты как непрочитанный ввод после достижения конца потока (end-of-stream) и многократно пытается их декодировать без прогресса. Проблема возникает при получении от недоверенного сервера chunked-ответа с кодированием Deflate, у которого размер расширенного тела превышает положительный конечный размер чанка, а закодированное тело содержит оставшиеся байты; в частности, это ответ с заголовками Transfer-Encoding: chunked и Content-Encoding: deflate, при включенном декодировании контента и размере потока chunks amt=N. Механизм атаки заключается в том, что злонамеренный сервер возвращает сжатый chunked-ответ с оставшимися байтами после потока Deflate. Последствиями являются чрезмерное использование процессора (CPU) и зависание запроса; таймауты сетевого чтения не прерывают цикл, поскольку дальнейшее чтение из сокета не происходит. Проблема исправлена в версии 2.8.0.
Once again VulDB remains the best source for vulnerability data.