https://blog.qife122.com/tags/scrapy/ Recent content in Scrapy on 办公AI智能小助手 Hugo zh-cn qife Mon, 05 Jan 2026 08:31:21 +0800 https://blog.qife122.com/p/scrapy%E5%9B%A0brotli%E8%A7%A3%E5%8E%8B%E5%AE%9E%E7%8E%B0%E7%BC%BA%E9%99%B7%E5%AD%98%E5%9C%A8%E6%8B%92%E7%BB%9D%E6%9C%8D%E5%8A%A1%E6%94%BB%E5%87%BB%E6%BC%8F%E6%B4%9E-cve-2025-6176/ Mon, 05 Jan 2026 08:31:21 +0800 https://blog.qife122.com/p/scrapy%E5%9B%A0brotli%E8%A7%A3%E5%8E%8B%E5%AE%9E%E7%8E%B0%E7%BC%BA%E9%99%B7%E5%AD%98%E5%9C%A8%E6%8B%92%E7%BB%9D%E6%9C%8D%E5%8A%A1%E6%94%BB%E5%87%BB%E6%BC%8F%E6%B4%9E-cve-2025-6176/ <h1 id="scrapy因brotli解压实现缺陷存在拒绝服务攻击漏洞-cve-2025-6176">Scrapy因Brotli解压实现缺陷存在拒绝服务攻击漏洞 (CVE-2025-6176)</h1> <p><strong>漏洞细节</strong></p> <p><strong>受影响的包：</strong></p> <ul> <li>pip: Scrapy</li> <li>pip: brotli</li> </ul> <p><strong>受影响版本：</strong></p> <ul> <li>Scrapy: &lt;= 2.13.3</li> <li>brotli: &lt;= 1.1.0</li> </ul> <p><strong>已修复版本：</strong></p> <ul> <li>Scrapy: 2.13.4</li> <li>brotli: 1.2.0</li> </ul> <p><strong>描述</strong></p> <p>Scrapy 2.13.3及更早版本因Brotli解压实现中的一个缺陷而存在拒绝服务(DoS)攻击漏洞。其针对解压炸弹的防护机制无法有效应对Brotli格式，使得远程服务器能够利用低于80GB可用内存的客户端使其崩溃。这是由于Brotli对零填充数据能够实现极高的压缩比，导致在解压过程中消耗过量的内存。修复此漏洞需要应用brotli v1.2.0中添加的安全增强措施。</p> https://blog.qife122.com/p/scrapy-%E5%9B%A0brotli%E8%A7%A3%E5%8E%8B%E7%BC%BA%E9%99%B7%E9%9D%A2%E4%B8%B4dos%E6%94%BB%E5%87%BB%E9%A3%8E%E9%99%A9/ Wed, 10 Dec 2025 08:11:48 +0800 https://blog.qife122.com/p/scrapy-%E5%9B%A0brotli%E8%A7%A3%E5%8E%8B%E7%BC%BA%E9%99%B7%E9%9D%A2%E4%B8%B4dos%E6%94%BB%E5%87%BB%E9%A3%8E%E9%99%A9/ <h1 id="cve-2025-6176-scrapy-brotli-解压实现缺陷导致拒绝服务漏洞">CVE-2025-6176: Scrapy Brotli 解压实现缺陷导致拒绝服务漏洞</h1> <p>Scrapy 版本至 2.13.3 存在一个拒绝服务攻击漏洞，源于其 Brotli 解压实现中的一个缺陷。针对解压炸弹的防护机制未能有效缓解 Brotli 变体攻击，使得远程服务器能够通过消耗客户端内存（通常少于 80GB）使其崩溃。</p> https://blog.qife122.com/p/scrapy%E4%B8%8Ebrotli%E5%8E%8B%E7%BC%A9%E5%BA%93%E5%AD%98%E5%9C%A8%E6%8B%92%E7%BB%9D%E6%9C%8D%E5%8A%A1%E6%BC%8F%E6%B4%9E%E6%94%BB%E5%87%BB%E8%80%85%E5%8F%AF%E5%88%A9%E7%94%A8%E8%A7%A3%E5%8E%8B%E8%BF%87%E7%A8%8B%E8%80%97%E5%B0%BD%E5%86%85%E5%AD%98/ Tue, 11 Nov 2025 23:51:09 +0800 https://blog.qife122.com/p/scrapy%E4%B8%8Ebrotli%E5%8E%8B%E7%BC%A9%E5%BA%93%E5%AD%98%E5%9C%A8%E6%8B%92%E7%BB%9D%E6%9C%8D%E5%8A%A1%E6%BC%8F%E6%B4%9E%E6%94%BB%E5%87%BB%E8%80%85%E5%8F%AF%E5%88%A9%E7%94%A8%E8%A7%A3%E5%8E%8B%E8%BF%87%E7%A8%8B%E8%80%97%E5%B0%BD%E5%86%85%E5%AD%98/ <h2 id="漏洞详情">漏洞详情</h2> <p><strong>包管理器</strong>: pip</p> <p><strong>受影响组件</strong>:</p> <ul> <li>Scrapy (pip) - 受影响版本: &lt;= 2.13.3</li> <li>Brotli (pip) - 受影响版本: &lt;= 1.1.0</li> </ul> <p><strong>已修复版本</strong>:</p> <ul> <li>Brotli: 1.2.0</li> <li>Scrapy: 暂无修复版本</li> </ul> <h2 id="漏洞描述">漏洞描述</h2> <p>Brotli 1.1.0及以下版本存在拒绝服务(DoS)漏洞，问题源于解压过程。该漏洞已在Brotli 1.2.0版本中得到修复。</p>