CVE-2026-84381

Nome do Software Vulnerável e Versões Afetadas httpcore2 versões anteriores a 2.10.0 HTTPX2 versões 2.6.0 a 2.9.1

Descrição Existe um problema onde o TLS não é iniciado quando uma origem remota utiliza wss (WebSocket Secure) através de um proxy SOCKS5, pois a condição de upgrade de TLS reconhece apenas https. Isso é exposto através das funções Client.websocket() e AsyncClient.websocket(). Consequentemente, o handshake de abertura, parâmetros de consulta, cabeçalhos Authorization, cookies e frames subsequentes podem ser transmitidos pelo caminho do proxy em texto simples, sem verificação de certificado. Um invasor que observe ou controle esse caminho pode ler ou modificar o tráfego e personificar o servidor WebSocket.

Recomendações Atualize o httpcore2 para a versão 2.10.0. Atualize o HTTPX2 para a versão 2.10.0.