CVE-2026-47076

benoitc hackney-dəki Interpretation Conflict zəifliyi Server Side Request Forgery-yə yol açır. hackney_url:normalize/2 funksiyası URL #hackney_url{} qeydinə ayrıldıqdan sonra host komponentini URL-decode edir. OTP-nin uri_string:parse/1 və inet:parse_address/1 funksiyaları host hissəsindəki faizlə qaçışları (percent-escapes) dekod etmir, buna görə də http://%31%32%37%2E%30%2E%30%2E%31/ kimi bir URL çağırıcının allowlist validatoru tərəfindən hostu %31%32%37%2E%30%2E%30%2E%31 (IP ünvanı deyil) olan sorğu kimi görünür və allowlist yoxlamasından keçir. Daha sonra hackney-in normalizer-i hostu 127.0.0.1 olaraq dekod edir və loopback-ə TCP bağlantısı açır. hackney:request/5 hər zaman heç bir istisna olmadan hackney_url:normalize/2 funksiyasını çağırdığı üçün, binar və ya siyahı formatlı URL qəbul edən hər bir sorğu bu problemdən təsirlənir. Eyni texnika bulud instansiya metadata xidmətlərinə (169.254.169.254), RFC1918 şəbəkələrinə və localhost-da dinləyən hər hansı admin interfeysinə çata bilir. Bu problem hackney: versiyasının 0.13.0-dan 4.0.1-ə qədər olan versiyalarını əhatə edir.