CVE-2026-47073

benoitc hackney proqramındakı Limitlərin və ya Tənzimləmənin Olmaması ilə bağlı Resursların Ayırılması zəifliyi Flooding-ə şərait yaradır. src/hackney_ws.erl faylındakı WebSocket kliyenti üç kod yolunda yaddaş istehlakına heç bir üst hədd qoymur. Birincisi, read_handshake_response/3 funksiyası qəbul edilən baytları ölçü məhdudiyyəti olmadan böyüyən buferdə toplayır; hər bir qəbul zamanı vaxtaşımı (timeout) yeniləndiyi üçün, \r\n\r\n göndərmədən bayt axını təmin edən server yaddaş tükənənə qədər buferin böyüməsinə səbəb olur. İkincisi, parse_payload/9 və parse_active_payload/8 funksiyaları elan edilmiş kadr yükünün (frame payload) uzunluğunu heç bir limitlə yoxlamır; RFC 6455 yüklənmə uzunluğuna 2^63-1 bayta qədər icazə verdiyi üçün, çox böyük kadr elan edib baytları hissə-hissə göndərən server toplama buferinin OOM (Out Of Memory) olana qədər böyüməsinə səbəb olur. Üçüncüsü, #ws_data{} strukturundakı frag_buffer sahəsi davam etdirici kadrları sonsuz şəkildə toplayır; final (fin) kadrı göndərmədən sonsuz sayda final olmayan (nofin) fraqmentləşdirilmiş kadrlar göndərən server frag_buffer-i limitsiz şəkildə böyüdür. Hər üç halda hücumçu yalnız hackney kliyentinin qoşulduğu WebSocket serverini idarə etməli olub, heç bir autentifikasiya və ya xüsusi kliyent konfiqurasiyası tələb olunmur. Bu problem hackney versiya 2.0.0-dan 4.0.1-ə qədər olan versiyalara təsir edir.