CVE-2026-47076
Publiée le 2026-05-25 · Dernière modification le 2026-07-24
Les applications utilisant le client HTTP `hackney` (versions 0.13.0 à 4.0.0) sont vulnérables à la falsification de requête côté serveur (SSRF). Un attaquant peut contourner les listes d'autorisation d'URL en utilisant des caractères encodés en pourcentage pour tromper le système et l'inciter à effectuer des requêtes vers des emplacements internes restreints, tels que l'adresse de bouclage locale ou les services de métadonnées du cloud. Cela nécessite que l'attaquant ait la possibilité de fournir une URL à l'application, mais ne requiert aucun privilège spécial ni interaction d'utilisateur pour être exécuté.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Interpretation Conflict vulnerability in benoitc hackney allows Server Side Request Forgery. hackney_url:normalize/2 URL-decodes the host component after the URL has been parsed into a #hackney_url{} record. OTP's uri_string:parse/1 and inet:parse_address/1 do not decode percent-escapes in the host, so a URL such as http://%31%32%37%2E%30%2E%30%2E%31/ is seen by a caller's allowlist validator with host %31%32%37%2E%30%2E%30%2E%31 (not an IP address), which passes the allowlist check. hackney's normalizer then decodes the host to 127.0.0.1 and opens a TCP connection to loopback. Because hackney:request/5 always calls hackney_url:normalize/2 with no opt-out, every request that takes a binary or list URL is affected. The same technique reaches cloud instance metadata services (169.254.169.254), RFC1918 networks, and any admin interface listening on localhost. This issue affects hackney: from 0.13.0 before 4.0.1.