CVE-2026-97689

Resumo

urllib3 é uma biblioteca cliente HTTP para Python. Da versão 1.10.3 até a 2.8.0, os métodos HTTPResponse.read_chunked e HTTPResponse.stream podem alocar memória sem limite porque o parser de chunks em streaming armazena em buffer o campo de tamanho do chunk até uma nova linha ou EOF sem um limite de comprimento. O gatilho é que um servidor malicioso retorna Transfer-Encoding: chunked seguido por uma sequência muito longa de bytes sem uma nova linha. O mecanismo do ataque é que um servidor HTTP malicioso envia uma linha de tamanho de chunk muito longa e não terminada. O impacto é que a alocação de memória sem limite pode esgotar o processo cliente. Este problema foi corrigido na versão 2.8.0.

Fontes

• afterimagePesquisa

  Pesquisa de patch-diff para problemas publicados do urllib3: versões fixadas, harnesses offline originais, comportamento antes/depois e controles benignos.