CVE-2026-47069
Açıklama
benoitc hackney bileşenindeki 'CRLF Dizilerinin Uygun Şekilde Etkisizleştirilmemesi' ('CRLF Injection') zafiyeti, HTTP Yanıt Bölünmesine (HTTP Response Splitting) olanak tanır. src/hackney_cookie.erl dosyasındaki hackney_cookie:setcookie/3 fonksiyonu, Name ve Value argümanlarını CRLF ve kontrol karakterlerine karşı doğrular ancak domain ve path seçeneklerini herhangi bir benzer kontrol yapmadan doğrudan çıktı iolist'ine ekler. Bu seçeneklerden herhangi birini kontrol edebilen bir saldırgan — örneğin çerez alanı olarak iletilen bir Host başlığı değeri veya çerez yolu olarak iletilen bir istek yolu sağlayarak — HTTP yanıtına gerçek bir CRLF dizisi ve rastgele ek Set-Cookie başlıkları enjekte edebilir. Bu sorun, 0.9.0 ile 4.0.1 arasındaki hackney sürümlerini etkilemektedir.
Nasıl düzeltilir
- benoitc hackney4.0.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| benoitc hackney | 0.9.0 ≤ v < 4.0.1 | 4.0.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.