CVE-2026-61652

Python HTTP klienti olan Zapros-un 0.14.0 versiyasından əvvəlki versiyaları yaddaşın tükənməsi vasitəsilə xidmətdən imtina (DoS) zəifliyinə malikdir. Problem, yaddaşı məhdudlaşdırmaq üçün hissə ölçüsünə — aşkar şəkildə (`iter_bytes(chunk_size=...)`) və ya standart olaraq — etibar edərək sıxılmış cavabları axın şəklində oxuyan bütün çağırıcılara təsir edir. Dekoder həmin məhdudiyyəti nəzərə almadığı üçün bir hissə sorğu ediləndan daha böyük ola bilərdi və tək bir sıxılmış cavab yaddaşı doldura bilərdi. 0.14.0 versiyasında düzəliş tətbiq edilmişdir. Bəzi alternativ həll yolları mövcuddur. Daxili dekoderləri yan keçən `Response.iter_raw()` / `Response.async_iter_raw()` vasitəsilə hələ də sıxılmış gövdəni oxuyun və onu aşkar çıxış ölçüsü məhdudiyyəti ilə (məsələn, `zlib`-in `max_length` parametri) özünüz sıxılmadan çıxarın və konfiqurasiya edilmiş limit keçildikdə prosesi dayandırın. Mümkün olduqda, cavab sıxılmasını söndürmək üçün `Accept-Encoding: identity` göndərin ki, beləliklə gövdələr klient tərəfində sıxılmadan çıxarılmasın. Etibarsız serverlərdən gələn cavab gövdələrini dekod etməkdən çəkinin.