CVE-2026-61652

Bir Python HTTP istemcisi olan Zapros, 0.14.0 sürümünden önce bellek tüketimi yoluyla hizmet reddi (DoS) saldırılarına karşı savunmasızdır. Sorun, belleği sınırlandırmak için parça boyutuna —açıkça belirtilen (`iter_bytes(chunk_size=...)`) veya varsayılan— güvenerek sıkıştırılmış yanıtları akış şeklinde alan tüm çağrıcıları etkilemektedir. Kod çözücü bu sınırı görmezden geldiğinden, bir parça istenenden çok daha büyük olabilir ve tek bir sıkıştırılmış yanıt belleğin taşmasına neden olabilir. 0.14.0 sürümü bir yama içermektedir. Bazı geçici çözümler mevcuttur. Yerleşik kod çözücüleri devre dışı bırakan `Response.iter_raw()` / `Response.async_iter_raw()` ile hala sıkıştırılmış gövdeyi okuyun ve yapılandırılmış bir limit aşıldığında işlemi durdurarak açık bir çıktı boyutu sınırı (örneğin `zlib`'in `max_length` parametresi) ile kendiniz açın. Mümkün olduğunda, gövdelerin istemci tarafında açılmaması için yanıt sıkıştırmasını devre dışı bırakmak amacıyla `Accept-Encoding: identity` gönderin. Güvenilmeyen sunuculardan gelen yanıt gövdelerinin kodunun çözülmesinden kaçının.