CVE-2026-84380

HTTPX2, Python için yeni nesil bir HTTP istemcisidir. 2.11.0 sürümünden önce, src/httpx2/httpx2/_models.py dosyasındaki Request._prepare(), setdefault() işleminin her varsayılan üstbilgiyi bağımsız olarak kontrol etmesi ve iki çerçeveleme üstbilgisini karşılıklı olarak dışlayıcı şekilde ele almaması nedeniyle, halihazırda çağrıcı tarafından sağlanmış bir Transfer-Encoding üstbilgesi içeren isteğe gövde kaynaklı bir Content-Length üstbilgesi ekleyebilir. Bu nedenle sabit boyutlu bayt, JSON, form ve bilinen uzunluktaki multipart gövdeleri, her iki üstbilge ile birlikte HTTP/1.1 üzerinden serileştirilebilir; bu durum, alt akıştaki ara sunucuların hangi çerçeveleme üstbilgesinin öncelikli olduğu konusunda farklı görüşlere sahip olması durumunda istek kaçakçılığına (request smuggling) veya bağlantı senkronizasyon bozulmasına yol açabilir. Bu sorun 2.11.0 sürümünde düzeltilmiştir.