PT-2026-43066
CVE-2026-47069
·
تاريخ النشر
2026-05-25
·
تاريخ التحديث
2026-07-24
الوصف من
CVSS 3.1
5.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات hackney من 0.9.0 إلى 4.0.0
الوصف
يؤدي التعطيل غير السليم لتسلسلات CRLF، المعروف أيضًا باسم حقن CRLF، إلى السماح بتقسيم استجابة HTTP. تقوم الدالة
setcookie/3 الموجودة في src/hackney cookie.erl بالتحقق من صحة حجتي الاسم والقيمة مقابل CRLF وأحرف التحكم، ولكنها تربط خيارات المجال والمسار في قائمة iolist الناتجة دون إجراء فحوصات مماثلة. يمكن للمهاجم الذي يتحكم في هذه الخيارات، مثل تقديم قيمة رأس Host كنطاق ملف تعريف الارتباط أو مسار الطلب كمسار ملف تعريف الارتباط، حقن تسلسلات CRLF حرفية ورؤوس Set-Cookie إضافية عشوائية في استجابة HTTP.التوصيات
التحديث إلى الإصدار 4.0.1.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾