CVE-2026-84379

HTTPX2 Python üçün növbəti nəsil HTTP klientidir. 2.11.0 versiyasından əvvəl, src/httpx2/httpx2/_multipart.py faylındakı FileField.render_headers() funksiyası, files= üç elementli (filename, content, content_type) tuple və files= dörd elementli (filename, content, content_type, headers) tuple-dan gələn hücumçu tərəfindən idarə olunan content_type dəyərlərini və xüsusi başlıqları (custom headers), başlıq adlarını və ya dəyərlərini yoxlamadan birbaşa multipart/form-data hissəsinin başlıqlarına yerləşdirir. CR və ya LF simvolları hissə başlığını sonlandıra, əlavə hissə başlıqları inyeksiya edə və ya başlıq blokunu vaxtından əvvəl bitirə bilər ki, bu da aşağı axındakı multipart analizatorunun hücumçu tərəfindən təmin edilən sətirləri real başlıqlar kimi qəbul etməsinə və potensial olaraq hissə semantikasını dəyişdirməsinə və ya başlıqlara əsaslanan yoxlamalardan yan keçməsinə şərait yaradır. Bu problem 2.11.0 versiyasında düzəldilmişdir.