CVE-2026-47067 in hackney
Zusammenfassung
von VulDB • 25.05.2026
Die Schwachstelle „Allocation of Resources Without Limits or Throttling" in benoitc hackney ermöglicht Flooding-Angriffe. Der URL-Parser in src/hackney_url.erl konvertiert jedes nicht erkannte URL-Schema in ein permanentes BEAM-Atom über binary_to_atom/2. BEAM-Atoms werden nicht vom Garbage Collector erfasst, und die Atomtabelle hat standardmäßig ein hartes Limit von 1.048.576 Einträgen. Ein Angreifer, der in der Lage ist, URLs mit vom Angreifer gewählten Schemapräfixen bereitzustellen – direkt als Zielanfragen, als konfigurierte Webhook-URLs oder über Location-Header, die während Umleitungen (Redirects) gefolgt werden – kann die Atomtabelle erschöpfen und die gesamte BEAM-VM mit einem system_limit abstürzen lassen.
Dieses Problem betrifft hackney: ab Version 2.0.0 bis vor 4.0.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.