CVE-2026-115700

benoitc hackney içerisindeki hackney_url bileşeninde bulunan Yorumlama Çatışması zafiyeti; yüzdeyle kodlanmış köşeli parantezli bir IPv6 literali veya sonunda nokta bulunan bir IP literali aracılığıyla Sunucu Taraflı İstek Sahteciliği'ne (SSRF) izin verir. %5B%3A%3Affff%3A127%2E0%2E0%2E1%5D ([::ffff:127.0.0.1] olarak çözümlenir) veya 127.0.0.1. gibi bir ana bilgisayar, uri_string:parse/1 ve inet:parse_address/1 üzerine kurulu bir çağırıcı izin listesi için bir IP adresi değilken, hackney belirttiği adrese bağlanır. Aynı durum, yönlendirmeler takip edildiğinde bir Location hedefi için de geçerlidir. CVE-2026-47076'nın yüzdeyle kodlanmış IP atlatmasını kapatmak için eklenen ve hackney_url:normalize/2 tarafından yüzdeyle kodunun çözüldüğü bir ana bilgisayara uygulanan IP-literali denetimi, çözülmüş değeri olduğu gibi inet_parse:address/1 fonksiyonuna iletir. hackney_happy:parse_address/1 içindeki bağlantı yolu çevreleyen köşeli parantez çiftini kaldırır ve çözümleyici sondaki noktayı yoksayar; bu nedenle her iki form da denetimden geçer ve yine de literal adrese ulaşır. Sonunda nokta olan alan adları ve kodlanmamış IPv6 literalleri etkilenmemektedir. Bu sorun, 4.0.1 ile 4.9.0 öncesi arasındaki hackney sürümlerini etkilemektedir.