There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - HTTPX2 is a next generation HTTP client for Python. Prior to 2.11.0, Request._prepare() in
    src/httpx2/httpx2/_models.py can add a body-derived Content-Length header to a request that already
    contains a caller-supplied Transfer-Encoding header because its setdefault() processing checks each
    default header independently rather than treating the two framing headers as mutually exclusive. Fixed-
    size byte, JSON, form, and known-length multipart bodies can therefore be serialized over HTTP/1.1 with
    both headers, allowing request smuggling or connection desynchronization when downstream intermediaries
    disagree about which framing header takes precedence. This issue is fixed in version 2.11.0.
    (CVE-2026-84380)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - HTTPX2 是 Python 的下一代 HTTP 用戶端。在之前 2.11.0，src/httpx2/httpx2/_models.py 中的 Request._prepare（） 可以將內文衍生的 Content-Length 標頭新增至已包含呼叫端提供的 Transfer-Encoding 標頭的要求，因為其 setdefault（） 處理會獨立檢查每個預設標頭，而不是將兩個框架標頭視為互斥的。因此，固定大小的位元組、JSON、表單和已知長度的多部分主體可以透過 HTTP/1.1 使用兩個標頭進行序列化，當下游中介對哪個框架標頭優先存在分歧時，允許請求走私或連線不同步。2.11.0 版已修正此問題。
    (CVE-2026-84380)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - HTTPX2 是用于 Python 的下一代 HTTP 客户端。低于 2.11.0src/httpx2/httpx2/_models.py 的 Request._prepare（） 可以将正文派生的 Content-Length 标头添加至已经包含调用程序提供的 Transfer-Encoding 标头的请求，因为其 setdefault（） 处理会独立检查每个默认标头，而不是将两个框架标头视为互斥。固定大小的字节、JSON、表单和已知长度的多部分正文因此可以通过 HTTP/1.1 序列化同时具有两个标头，从而在下游中介机构对哪个框架标头优先存在分歧时允许请求走私或连接去同步化。此问题已在 2.11.0 版本中修复。
    (CVE-2026-84380)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - HTTPX2 は、Python 用の次世代 HTTP クライアントです。2.11.0より前では、src/httpx2/httpx2/_models.py の Request._prepare() は、body-派生の Content-Length ヘッダーを、呼び出し元指定の Transfer-Encoding ヘッダーが既に含まれているリクエストに追加できます。これは、その setdefault() 処理が、2 つのフレーミングヘッダーを相互排他的に扱うのではなく、各デフォルトヘッダーを個別にチェックするためです。固定サイズのバイト、JSON、フォーム、既知の長さのマルチパート本体は、両方のヘッダーを伴う HTTP/1.1 にわたってシリアル化できるため、下流の仲介者がどちらのフレーミングヘッダーを優先するかについて意見が一致しない場合に、リクエストスマグリングまたは接続の非同期化が可能になります。この問題はバージョン 2.11.0 で修正されています。
    (CVE-2026-84380)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの Fedora 44 ホストには、FEDORA-2026-a69588e2cd のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    [httpcore2](https://github.com/pydantic/httpx2/blob/v2.13.1/src/httpcore2/CHANGELOG.md) および [httpx2](https://github.com/pydantic/httpx2/blob/v2.13.1/src/httpx2/CHANGELOG.md) を 2.13.1 に更新します。

    これは、 CVE-2026-84378、 CVE-2026-84379、 CVE-2026-84380 のセキュリティ修正です。



Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - HTTPX2 is a next generation HTTP client for Python. Prior to 2.11.0, Request._prepare() in     src/httpx2/httpx2/_models.py can add a body-derived Content-Length header to a request that already     contains a caller-supplied Transfer-Encoding header because its setdefault() processing checks each     default header independently rather than treating the two framing headers as mutually exclusive. Fixed-     size byte, JSON, form, and known-length multipart bodies can therefore be serialized over HTTP/1.1 with     both headers, allowing request smuggling or connection desynchronization when downstream intermediaries     disagree about which framing header takes precedence. This issue is fixed in version 2.11.0.
    (CVE-2026-84380)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote Fedora 44 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-a69588e2cd advisory.

    Update [httpcore2](https://github.com/pydantic/httpx2/blob/v2.13.1/src/httpcore2/CHANGELOG.md)     and [httpx2](https://github.com/pydantic/httpx2/blob/v2.13.1/src/httpx2/CHANGELOG.md) to 2.13.1.

    This is a security fix for CVE-2026-84378, CVE-2026-84379, and CVE-2026-84380.



Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
472274	Echo: httpx2: security update to 2.11.0	Tenable Self-Hosted Container Security	Echo Local Security Checks	10/3/2026	10/5/2026	medium
472274	Echo: httpx2: security update to 2.11.0	Tenable Cloud Security	Echo Local Security Checks	10/3/2026	10/5/2026	medium
342524	Linux Distros 未修補弱點：CVE-2026-84380	Nessus	Misc.	9/3/2026	10/30/2026	medium
342524	Linux Distros 未修补的漏洞：CVE-2026-84380	Nessus	Misc.	9/3/2026	10/30/2026	medium
342524	Linux Distros のパッチ未適用の脆弱性: CVE-2026-84380	Nessus	Misc.	9/3/2026	10/30/2026	medium
362820	Fedora 44:python-httpx2(2026-a69588e2cd)	Nessus	Fedora Local Security Checks	10/3/2026	10/3/2026	medium
342524	Linux Distros Unpatched Vulnerability : CVE-2026-84380	Nessus	Misc.	9/3/2026	10/30/2026	medium
362820	Fedora 44 : python-httpx2 (2026-a69588e2cd)	Nessus	Fedora Local Security Checks	10/3/2026	10/3/2026	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

medium

medium

medium