PT-2026-2060
CVE-2026-21441
·
تاريخ النشر
2026-01-07
·
تاريخ التحديث
2026-10-19
الوصف من
CVSS 4.0
8.9
عاليةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
إصدارات urllib3 من 1.22 إلى 2.6.2
الوصف
urllib3 هي مكتبة عميل HTTP بلغة Python. تم تصميم واجهة برمجة التطبيقات (API) الخاصة بالبث فيها لمعالجة استجابات HTTP الكبيرة بكفاءة، من خلال قراءة المحتوى على شكل كتل. تقوم المكتبة بفك ضغط المحتوى استنادًا إلى رأس HTTP
Content-Encoding، مثل gzip أو deflate أو br أو zstd. عند استخدام واجهة برمجة التطبيقات (API) الخاصة بالبث مع عمليات إعادة التوجيه HTTP وتعيين preload content على False، كانت الإصدارات الأقدم من 2.6.3 تقرأ وتفك ضغط نص الاستجابة بالكامل دون داعٍ، حتى قبل استدعاء أي طريقة قراءة. ولم تكن حدود القراءة المحددة تقيد كمية البيانات التي يتم فك ضغطها، مما أدى إلى خطر حدوث «قنابل فك الضغط». يمكن لخادم ضار استغلال ذلك للتسبب في استهلاك مفرط للموارد على جانب العميل. تتأثر التطبيقات والمكتبات عند بث محتوى من مصادر غير موثوقة دون تعطيل عمليات إعادة التوجيه.التوصيات
قم بالتحديث إلى الإصدار 2.6.3 أو أحدث من urllib3.
إذا لم يكن التحديث ممكنًا على الفور، فقم بتعطيل عمليات إعادة التوجيه عن طريق تعيين
redirect=False للطلبات الموجهة إلى مصادر غير موثوقة.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾