Veille sécuritéBackend & données
P4Moyenne
Dans urllib3, une réponse Deflate fragmentée contenant des octets après la fin du flux peut faire tourner indéfiniment `HTTPResponse.stream` ou `read_chunked` dans certaines conditions de lecture par morceaux. Un serveur malveillant peut ainsi provoquer une forte consommation CPU et bloquer la requête; le défaut est corrigé dans la version 2.8.0.
Python
IdentifiantCVE-2026-97688
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif2.8.0
Source : NVD — CVE-2026-97688
Analyse technique
Le cas décrit implique une réponse `Transfer-Encoding: chunked` et `Content-Encoding: deflate`, le décodage activé et une taille de lecture positive finie. Les délais d’attente de lecture réseau n’interrompent pas la boucle lorsqu’aucune nouvelle lecture de socket n’a lieu.
Impact, versions et correctif
Événement datéLa fiche NVD a été mise à jour le 2026-10-13T20:21:30.583Z UTC, soit le 2026-10-13T22:21:30.583+02:00, dans la période. La description fournie documente le défaut et son correctif, mais ne précise pas la différence apportée par cette mise à jour NVD.
ImpactConsommation CPU excessive et requête qui ne se termine pas, pouvant entraîner un déni de service côté client.
Versions affectéesurllib3 de 2.6.2 à avant 2.8.0
Version corrigée2.8.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.9
EPSS0,29% · percentile 20,1%
Publication2026-09-29T16:17:18.680Z
Mise à jour2026-10-13T20:21:30.583Z
Action recommandée
Mettre à niveau urllib3 vers la version 2.8.0 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).