PT-2026-123303
CVE-2026-112880
·
تاريخ النشر
2026-10-26
·
تاريخ التحديث
2026-10-26
الوصف من
CVSS 4.0
2.1
منخفضةالمقاييسAV:L/AC:L/AT:P/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:L/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
hackney الإصدارات من 2.0.0 إلى 4.8.9
Description
توجد مشكلة تقسيم طلب HTTP (HTTP Request Splitting) في
hackney http connect بسبب عدم تحييد تسلسلات CRLF بشكل صحيح في ترويسات HTTP. عندما يقوم بروكسي HTTP CONNECT بإرجاع استجابة 407، تقوم الدالة hackney http connect:handle proxy auth/11 بتنفيذ استدعاء proxy auth fun وكتابة البيانات الثنائية المسترجعة مباشرة في سطر Proxy-Authorization لطلب إعادة المحاولة دون التحقق منها. إذا كانت القيمة المسترجعة تحتوي على إرجاع العربة (CR)، أو تغذية السطر (LF)، أو بايت NUL، يمكن للمهاجم إضافة أسطر ترويسة إضافية إلى الطلب المرسل إلى البروكسي. يحدث هذا عندما يشتق الاستدعاء قيمته من بيانات غير موثوقة، مثل ترويسات التحدي الخاصة بالبروكسي.Recommendations
التحديث إلى الإصدار 4.9.0 أو أحدث.
كإجراء مؤقت، قم بتنفيذ فحص داخل استدعاء
proxy auth fun للتأكد من أن القيمة المسترجعة لا تحتوي على بايتات CR أو LF أو NUL، مع إرجاع {error, Reason} في حال اكتشاف أي منها. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾