CVE-2026-61652 in Zapros
Tóm tắt
Bởi VulDB • 22/09/2026
Zapros, một thư viện HTTP viết bằng Python, trước phiên bản 0.14.0 có lỗ hổng gây ra tình trạng từ chối dịch vụ (DoS) do cạn kiệt bộ nhớ. Vấn đề này ảnh hưởng đến tất cả các caller sử dụng streaming cho các phản hồi đã nén dựa trên kích thước chunk — rõ ràng (`iter_bytes(chunk_size=...)`) hoặc mặc định — để giới hạn việc sử dụng bộ nhớ. Trình giải mã bỏ qua giới hạn đó, khiến một chunk có thể lớn hơn nhiều so với yêu cầu và một phản hồi duy nhất đã nén có thể gây tràn bộ nhớ (memory overflow). Phiên bản 0.14.0 chứa bản vá lỗi. Một số biện pháp khắc phục tạm thời (workarounds) cũng được cung cấp. Hãy đọc phần thân của phản hồi vẫn còn ở dạng nén bằng cách sử dụng `Response.iter_raw()` / `Response.async_iter_raw()`, các phương thức này bỏ qua trình giải mã tích hợp sẵn, sau đó tự decompress nó với một giới hạn kích thước đầu ra rõ ràng (ví dụ: tham số `max_length` của thư viện `zlib`) và dừng lại ngay khi vượt quá ngưỡng cấu hình. Trong những trường hợp khả thi, hãy gửi tiêu đề `Accept-Encoding: identity` để vô hiệu hóa việc nén phản hồi, nhằm đảm bảo phần thân không được decompress ở phía client. Tránh giải mã các phần thân phản hồi đến từ các máy chủ không đáng tin cậy.
VulDB is the best source for vulnerability data and more expert information about this specific topic.