CVE-2026-47071

Podatność w bibliotece hackney (wersje od 2.0.0 do 4.0.1) pozwala na atak typu Flooding przez brak ograniczenia rozmiaru bufora odpowiedzi HTTP/3. Złośliwy serwer może wysyłać małe fragmenty danych, resetując licznik czasu, co prowadzi do nieograniczonego wzrostu pamięci i wyczerpania sterty procesu BEAM.

Biblioteka hackney dla Erlanga/OTP w wersjach od 0.13.0 do 4.0.1 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) spowodowaną konfliktem interpretacji. Funkcja normalizująca URL dekoduje host po walidacji, co pozwala na ominięcie list dozwolonych i dostęp do wewnętrznych adresów IP (np. 127.0.0.1, 169.254.169.254).

hackney przed wersją 4.0.1 nie koduje procentowo znaków CR (\r) i LF (\n) w komponencie zapytania URL, co umożliwia atak typu HTTP Request Splitting. Atakujący kontrolujący URL może wstrzyknąć surowe sekwencje CRLF do łańcucha zapytania, co pozwala na dodanie dowolnych nagłówków HTTP lub podział żądania.

Podatność w bibliotece hackney (wersje od 2.0.0 do 4.0.1) pozwala na wyczerpanie pamięci przez atakującego serwer WebSocket. Klient WebSocket nie ogranicza rozmiaru buforów w trzech ścieżkach kodu, co umożliwia atak Flooding.

Podatność CRLF Injection w bibliotece hackney umożliwia atakującemu wstrzyknięcie dowolnych nagłówków HTTP do żądania WebSocket. Brak filtrowania znaków CRLF i NUL w czterech miejscach wstrzyknięcia pozwala na manipulację żądaniem, co może prowadzić do fałszowania poświadczeń, zatrucia pamięci podręcznej lub przemytu żądań przez proxy.

Biblioteka hackney w wersjach od 3.1.1 przed 4.0.1 zawiera podatność na wyciek danych wrażliwych. Moduł HTTP/3 (hackney_h3.erl) nie sprawdza pochodzenia przy przekierowaniach, przez co nagłówki autoryzacyjne i ciasteczka są wysyłane do obcych hostów.

W bibliotece hackney (wersje od 0.9.0 przed 4.0.1) stwierdzono podatność na CRLF Injection w funkcji hackney_cookie:setcookie/3. Atakujący kontrolujący opcję domain lub path może wstrzyknąć sekwencję CRLF i dowolne nagłówki Set-Cookie, co prowadzi do HTTP Response Splitting.

Biblioteka hackney w wersjach od 2.0.0 do 4.0.1 (przed 4.0.1) zawiera podatność na wyczerpanie tablicy atomów BEAM. Parser URL konwertuje nierozpoznane schematy URL na atomy za pomocą binary_to_atom/2, które nigdy nie są usuwane. Atakujący może dostarczyć wiele URL-i z unikalnymi schematami, powodując przekroczenie limitu tablicy atomów i awarię całej maszyny wirtualnej BEAM.

Biblioteka hackney w wersjach od 2.0.0-beta.1 do 4.0.1 (przed 4.0.1) zawiera podatność na nieskończoną pętlę w parserze nagłówka Alt-Svc. Funkcja parse_token/2 nie zapewnia postępu dla niektórych bajtów, co prowadzi do rekurencyjnej pętli zajmującej 100% CPU. Nagłówek Alt-Svc: ! jest wystarczający do wywołania podatności.