CVE-2026-115700

اسم البرنامج المصاب والإصدارات المتأثرة hackney الإصدارات من 4.0.1 إلى 4.8.x

Description يسمح تعارض في التفسير في hackney url بتنفيذ هجوم تزوير الطلبات عبر الخادم (SSRF). يحدث هذا عندما يتم تقديم المضيف كعنوان IPv6 حرفي بين أقواس مشفر بنسبة مئوية أو عنوان IP حرفي ينتهي بنقطة. بينما قد لا تتعرف قائمة السماح الخاصة بالمستدعي التي تستخدم uri string:parse/1 و inet:parse address/1 على هذه القيم كعناوين IP، فإن hackney يتصل بالعنوان المشار إليه. ينطبق الأمر نفسه على أهداف Location عند اتباع عمليات إعادة التوجيه. تنبع المشكلة من قيام hackney url:normalize/2 بتمرير القيم التي تم فك تشفيرها إلى inet parse:address/1 كما هي، بينما يقوم مسار الاتصال في hackney happy:parse address/1 بإسقاط الأقواس المحيطة ويتجاهل الموجه النقطة النهائية، مما يسمح لهذه الأشكال بتجاوز بوابة العنوان الحرفي. التطبيقات التي تستخدم قائمة سماح لعناوين IP لمنع الطلبات إلى العناوين الداخلية، مثل loopback أو بيانات وصفية للارتباط المحلي، تكون عرضة لهذا الخطر.

Recommendations التحديث إلى الإصدار 4.9.0 أو أحدث. كإجراء مؤقت، قم بتشغيل قائمة السماح على المضيف الذي تعيده hackney url:normalize/1 وقم بإزالة أي زوج من الأقواس المحيطة والنقاط النهائية من المضيف قبل إجراء فحص عنوان IP.