CVE-2026-97687 — urllib3 : paramètres TLS mal séparés pour les proxys HTTPS

Veille sécuritéBackend & données

P3Élevée

Dans urllib3, des paramètres TLS destinés au serveur cible peuvent être appliqués par erreur à la connexion TLS vers un proxy HTTPS, notamment avec certaines configurations de transfert HTTPS. Cela peut affaiblir la vérification du certificat du proxy et exposer ou permettre la modification du trafic relayé; la version 2.8.0 corrige le problème.

IdentifiantCVE-2026-97687

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif2.8.0

Source : NVD — CVE-2026-97687

Analyse technique

Le défaut concerne la séparation des paramètres TLS du proxy HTTPS et du serveur cible. Une configuration `CERT_NONE` peut modifier le contexte TLS du proxy et laisser des connexions ultérieures sans vérification de son certificat.

Impact, versions et correctif

Événement datéLa fiche NVD a été mise à jour le 2026-10-13T20:27:23.130Z UTC, soit le 2026-10-13T22:27:23.130+02:00, dans la période. La description fournie documente un risque TLS et le correctif, mais ne précise pas la différence apportée par cette mise à jour NVD.

ImpactUn proxy HTTPS intercepté peut permettre l’observation ou la modification du trafic relayé et, dans certaines configurations, la réception d’un certificat client TLS destiné au serveur cible.

Versions affectéesurllib3 de 1.26.0 à avant 2.8.0

Version corrigée2.8.0

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.6

EPSS0,24% · percentile 14,2%

Publication2026-09-29T16:17:18.517Z

Mise à jour2026-10-13T20:27:23.130Z

Action recommandée

Mettre à niveau urllib3 vers la version 2.8.0 ou ultérieure et vérifier la configuration TLS des connexions via proxy HTTPS.

Sources

NVD — CVE-2026-97687

Priorisation DFS : P3 · 1 source(s).