CVE-2026-115700

benoitc hackney daxilindəki hackney_url komponentində Interpretation Conflict zəifliyi, faizlə kodlaşdırılmış mötərizəli IPv6 literalı və ya sonunda nöqtə olan IP literalı vasitəsilə Server Side Request Forgery (SSRF) imkanına yol açır. Məsələn, %5B%3A%3Affff%3A127%2E0%2E0%2E1%5D ([::ffff:127.0.0.1] kimi dekodlaşdırılır) və ya 127.0.0.1. kimi bir host, uri_string:parse/1 və inet:parse_address/1 əsasında qurulmuş icazə siyahısı üçün IP ünvanı sayılmasa da, hackney həmin ünvanla əlaqə qurur. Eyni hal yönləndirmələr izlənilərkən Location hədəfi üçün də tətbiq olunur. CVE-2026-47076-nin faizlə kodlaşdırılmış IP yan keçməsini bağlamaq üçün əlavə edilmiş və hackney_url:normalize/2 tərəfindən faizlə dekodlaşdırılmış hosta tətbiq olunan IP-literal filtri, dekodlaşdırılmış dəyəri olduğu kimi inet_parse:address/1 funksiyasına ötürür. hackney_happy:parse_address/1 funksiyasındakı qoşulma yolu ətrafdakı mötərizə cütünü silir və resolver sonundakı nöqtəni nəzərə almır, buna görə də hər iki forma filtrdən keçərək literal ünvana çatır. Sonunda nöqtə olan domen adları və kodlaşdırılmamış IPv6 literalları bu problemdən təsirlənmir. Bu problem hackney versiya 4.0.1-dən 4.9.0-a qədər olan versiyalara təsir edir.