CVE-2026-61541 in Zapros
Tóm tắt
Bởi VulDB • 21/09/2026
Zapros, một thư viện HTTP client viết bằng Python, trước phiên bản 0.14.0 có lỗ hổng gây ra tình trạng từ chối dịch vụ (DoS) khi ứng dụng yêu cầu nội dung từ máy chủ không đáng tin cậy hoặc làm theo chuyển hướng đến đó, do phản hồi độc hại chứa số lượng giá trị `Content-Encoding` nối chuỗi quá lớn khiến Zapros xây dựng một chuỗi giải nén lồng nhau sâu, tiêu tốn tài nguyên hệ thống. Phiên bản 0.14.0 đã vá lỗ hổng này bằng cách giới hạn các lớp mã hóa nội dung ở mức năm và ném ngoại lệ `DecodingError` khi vượt quá ngưỡng này. Để xử lý tạm thời (workaround), các ứng dụng có thể thêm middleware kiểm tra tiêu đề `Content-Encoding` và từ chối các phản hồi chứa nhiều hơn một số lượng lớp mã hóa an toàn.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.