CVE-2026-113440

Nome do Software Vulnerável e Versões Afetadas hackney versões 2.0.0 até 4.8.9

Description Existe um problema onde um servidor de redirecionamento pode obter credenciais de basic auth e cookie por meio de um redirecionamento no mesmo host para um esquema ou porta diferente. Quando follow redirect está habilitado, a função hackney:follow redirect/10 em src/hackney.erl reemite solicitações para o destino Location. A verificação realizada por hackney:maybe strip auth on redirect/3 compara apenas o nome do host das URLs atual e de redirecionamento. Consequentemente, um redirecionamento de https para http no mesmo host envia os cabeçalhos Authorization e Cookie em texto simples, permitindo que um invasor no caminho os intercepte. Da mesma forma, um redirecionamento para uma porta diferente no mesmo host envia essas credenciais para um serviço diferente. Isso ocorre via HTTP/1.1 e HTTP/2 quando location trusted não está configurado.

Recommendations Atualize o hackney para a versão 4.9.0 ou posterior. Desative o follow redirect e gerencie o cabeçalho Location dentro da aplicação. Passe as credenciais como cabeçalhos de solicitação explícitos Authorization e Cookie em vez de usar as opções basic auth e cookie.