Veille sécuritéBackend & données
P3Élevée
Dans urllib3, le parseur des réponses HTTP fragmentées peut conserver en mémoire une ligne de taille de fragment très longue jusqu’à recevoir une nouvelle ligne ou la fin du flux. Un serveur malveillant peut envoyer une ligne non terminée afin d’épuiser la mémoire du client; la version 2.8.0 corrige le problème.
Python
IdentifiantCVE-2026-97689
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif2.8.0
Source : NVD — CVE-2026-97689
Analyse technique
`HTTPResponse.read_chunked` et `HTTPResponse.stream` peuvent mettre en mémoire tampon un champ de taille de fragment sans limite jusqu’au caractère de nouvelle ligne ou à la fin du flux.
Impact, versions et correctif
Événement datéLa fiche NVD a été mise à jour le 2026-10-13T20:20:06.950Z UTC, soit le 2026-10-13T22:20:06.950+02:00, dans la période. La description fournie documente le défaut et son correctif, mais ne précise pas la différence apportée par cette mise à jour NVD.
ImpactAllocation mémoire sans borne susceptible d’épuiser les ressources du processus client.
Versions affectéesurllib3 de 1.10.3 à avant 2.8.0
Version corrigée2.8.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.9
EPSS0,29% · percentile 20,1%
Publication2026-09-29T16:17:18.837Z
Mise à jour2026-10-13T20:20:06.950Z
Action recommandée
Mettre à niveau urllib3 vers la version 2.8.0 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).