CVE-2026-115700

Nome do Software Vulnerável e Versões Afetadas hackney versões 4.0.1 até 4.8.x

Description Um conflito de interpretação em hackney url permite Server Side Request Forgery (SSRF). Isso ocorre quando um host é fornecido como um literal IPv6 entre colchetes codificado em percentual ou um literal de IP com um ponto final. Enquanto uma lista de permissões (allowlist) do chamador usando uri string:parse/1 e inet:parse address/1 pode não reconhecer esses valores como endereços IP, o hackney ainda se conecta ao endereço indicado. O mesmo se aplica a alvos Location quando redirecionamentos são seguidos. O problema decorre do fato de hackney url:normalize/2 passar valores decodificados para inet parse:address/1 como estão, enquanto o caminho de conexão em hackney happy:parse address/1 remove colchetes circundantes e o resolvedor ignora pontos finais, permitindo que essas formas ignorem o controle de literal de IP. Aplicações que utilizam uma lista de permissões de IP para evitar requisições a endereços internos, como loopback ou metadados de link-local, estão suscetíveis.

Recommendations Atualize para a versão 4.9.0 ou posterior. Como solução temporária, execute a lista de permissões no host retornado por hackney url:normalize/1 e remova qualquer par de colchetes circundantes e pontos finais do host antes de realizar a verificação de IP.