PT-2026-123343
CVE-2026-97200
·
تاريخ النشر
2026-10-26
·
تاريخ التحديث
2026-10-26
الوصف من
CVSS 4.0
8.2
عاليةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المصاب والإصدارات المتأثرة
hackney الإصدارات من 2.0.0-beta.1 إلى 4.8.9
Description
توجد مشكلة في تخصيص الموارد في
hackney conn تسمح لخادم HTTP ضار باستنفاد ذاكرة العميل عن طريق إرسال جسم استجابة ضخم أو مضغوط للغاية. تقوم الدوال hackney:request/5 و hackney:body/1 بإرجاع جسم الاستجابة بالكامل دون وجود حدود لكمية البيانات التي يتم تخزينها مؤقتًا في عملية الاتصال. وبشكل محدد، تقوم hackney conn:read full body/2 ومراكمات HTTP/2 و HTTP/3 بإضافة كل جزء حتى ينتهي الجسم.عند استخدام خيار
{auto decompress, true}، يتم تضخيم الجسم المخزن مؤقتًا في خطوة واحدة باستخدام zlib:gunzip/1 أو zlib:inflate/2 والتي تعيد المخرجات كاملة دفعة واحدة. يمكن أن يؤدي ذلك إلى تضخيم كبير في استهلاك الذاكرة؛ على سبيل المثال، يمكن أن يتضخم جسم gzip بحجم 1 ميجابايت إلى 1 جيجابايت.Recommendations
التحديث إلى الإصدار 4.9.0 أو أحدث.
كإجراء تخفيف مؤقت، قم بتعطيل خيار
auto decompress لمنع تضخيم الذاكرة أثناء عملية فك الضغط. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾