CVE-2026-47076

benoitc hackney içerisindeki Yorumlama Çatışması (Interpretation Conflict) zafiyeti, Sunucu Taraflı İstek Sahteciliği'ne (Server Side Request Forgery) olanak tanır. hackney_url:normalize/2, URL bir #hackney_url{} kaydına ayrıştırıldıktan sonra ana makine (host) bileşenini URL-decode işleminden geçirir. OTP'nin uri_string:parse/1 ve inet:parse_address/1 fonksiyonları, ana makinedeki yüzde kaçış karakterlerini (percent-escapes) çözmez; bu nedenle http://%31%32%37%2E%30%2E%30%2E%31/ gibi bir URL, çağıranın izin listesi (allowlist) doğrulayıcısı tarafından ana makinesi %31%32%37%2E%30%2E%30%2E%31 (bir IP adresi değil) olarak görülür ve izin listesi kontrolünden geçer. Ardından hackney'in normalleştiricisi, ana makineyi 127.0.0.1 olarak çözer ve döngüsel adrese (loopback) bir TCP bağlantısı açar. hackney:request/5 her zaman herhangi bir devre dışı bırakma seçeneği olmaksızın hackney_url:normalize/2 fonksiyonunu çağırdığı için, ikili (binary) veya liste formatında URL alan tüm istekler etkilenir. Aynı teknikle bulut örneği meta veri servislerine (169.254.169.254), RFC1918 ağlarına ve localhost üzerinde dinleme yapan tüm yönetici arayüzlerine erişilebilir. Bu sorun, 0.13.0 ile 4.0.1 öncesi arasındaki hackney sürümlerini etkilemektedir.