PT-2026-39666
CVE-2026-44432
·
تاريخ النشر
2026-05-07
·
تاريخ التحديث
2026-10-08
الوصف من
CVSS 4.0
8.9
عاليةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات urllib3 من 2.6.0 حتى 2.6.x
الوصف
توجد مشكلة في واجهة برمجة تطبيقات البث (streaming API) حيث قد تقوم المكتبة بفك ضغط استجابة HTTP بالكامل بدلاً من الجزء المطلوب. يحدث هذا في حالتين: أثناء الاستدعاء الثاني لـ
HTTPResponse.read(amt=N) عند استخدام مكتبة Brotli الرسمية لفك الضغط، أو عند استدعاء HTTPResponse.drain conn() بعد قراءة جزء من الاستجابة وفك ضغطه. قد يؤدي هذا السلوك إلى استهلاك مفرط للموارد على جانب العميل، وتحديدًا ارتفاع في استخدام وحدة المعالجة المركزية (CPU) وتخصيص هائل للذاكرة، عند معالجة كميات صغيرة من البيانات شديدة الضغط.التوصيات
قم بالتحديث إلى الإصدار 2.7.0.
كحل مؤقت لهذه المشكلة الخاصة بـ Brotli، قم بالتبديل من مكتبة
brotli إلى brotlicffi.كحل مؤقت، قم باستدعاء
HTTPResponse.close() بدلاً من HTTPResponse.drain conn() عندما لا تكون إعادة استخدام الاتصال مطلوبة.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾