CVE-2026-61652 in Zapros
摘要
由 VulDB • 2026-09-21
Zapros，一个 Python HTTP 客户端库，在 0.14.0 版本之前存在拒绝服务漏洞，可导致内存耗尽。该问题影响所有依赖块大小（显式指定 `iter_bytes(chunk_size=...)` 或使用默认值）来限制内存使用的流式传输压缩响应的调用方。解码器忽略了这一限制，导致实际接收到的数据块可能远大于请求的大小，单个压缩响应即可引发内存溢出。版本 0.14.0 包含修复补丁。此外还提供了一些变通方案：使用 `Response.iter_raw()` / `Response.async_iter_raw()` 读取尚未解压缩的原始主体内容（绕过内置解码器），并使用显式的输出大小限制自行进行解压操作（例如 zlib 库中的 `max_length` 参数），一旦超过配置的限制即中止处理。在可行的情况下，发送 `Accept-Encoding: identity` 标头以禁用响应压缩，从而避免客户端侧对主体内容进行解压缩。应避免从不受信任的服务器解码响应主体内容。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.