CVE-2026-61541
ŚrednieCVSS 6.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
Zapros, klient HTTP w Pythonie, przed wersją 0.14.0 jest podatny na atak DoS, gdy aplikacja żąda treści z niezaufanego serwera lub podąża za przekierowaniem do takiego serwera, ponieważ złośliwa odpowiedź zawierająca nadmierną liczbę łańcuchowych wartości Content-Encoding powoduje, że Zapros konstruuje głęboko zagnieżdżony łańcuch dekompresji, który zużywa nadmierne zasoby. Wersja 0.14.0 łata podatność, ograniczając odpowiedzi do pięciu warstw kodowania treści i podnosząc DecodingError po przekroczeniu tego limitu. Obejściem jest dodanie middleware odpowiedzi, który sprawdza nagłówek Content-Encoding i odrzuca odpowiedzi zawierające więcej niż bezpieczną liczbę warstw kodowania.
Ocena ryzyka
Atakujący może spowodować wyczerpanie zasobów systemowych, prowadząc do niedostępności aplikacji korzystających z Zapros. Organizacja narażona jest na przerwy w działaniu usług.
Rekomendacja
Zaktualizuj Zapros do wersji 0.14.0 lub nowszej. Jeśli nie jest to możliwe, zastosuj middleware odpowiedzi, aby ograniczyć liczbę warstw Content-Encoding.
Inne podatności w Zapros
Oryginalny opis (angielski, źródło NVD)
Zapros, a Python HTTP client, prior to version 0.14.0 is vulnerable to denial of service when an application requests content from an untrusted server, or follows a redirect to one, because a malicious response containing an excessive number of chained `Content-Encoding` values causes Zapros to construct a deeply nested decompression chain that consumes excessive resources. Version 0.14.0 patches the vulnerability by limiting responses to five content-encoding layers and raising `DecodingError` when that limit is exceeded. As a workaround, applications can add response middleware that inspects the `Content-Encoding` header and rejects responses containing more than a safe number of encoding layers.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS