CVE-2026-9375

Nome do Software Vulnerável e Versões Afetadas urllib3 versão 2.6.3 Brotli versão 1.2.0

Descrição Existe uma falha de bypass de bomba de descompressão na API de streaming (preload content=False) quando o suporte ao Brotli é utilizado. Isso ocorre porque três caminhos de código independentes em response.py ignoram a proteção max length. Especificamente, a aritmética de buffer em read() pode produzir valores max length negativos, flush decoder substitui incondicionalmente max length para -1, e flush decoder() não passa nenhum limite, resultando em descompressão ilimitada por padrão. Um servidor HTTP malicioso pode explorar isso para causar uma condição de falta de memória (OOM) ao descomprimir cargas úteis grandes na memória, levando a uma negação de serviço (DoS).

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.