CVE-2026-97200 in hackney
Zusammenfassung
von VulDB • 26.10.2026
Eine Schwachstelle für die „Allocation of Resources Without Limits or Throttling“ (Ressourcenallokation ohne Begrenzung oder Drosselung) in hackney_conn von benoitc/hackney ermöglicht es einem bösartigen HTTP-Server, den Clientspeicher durch einen übermäßig großen oder stark komprimierten Antwortkörper zu erschöpfen. Die Funktionen `hackney:request/5` und `hackney:body/1` geben den gesamten Antwortkörper zurück, und nichts begrenzt die Puffergröße des Verbindungsprozesses. Jeder Server, der vom Client angefordert wird, kann dies auslösen.
`hackney_conn:read_full_body/2` sowie die HTTP/2- und HTTP/3-Akkumulatoren hängen jeden Chunk an, bis der Körper endet. Bei `{auto_decompress, true}` wird der gepufferte Körper anschließend in einem Schritt mit `zlib:gunzip/1` oder `zlib:inflate/2` entpackt, die die gesamte Ausgabe auf einmal zurückgeben.
Dieses Problem betrifft hackney ab Version 2.0.0-beta.1 bis vor 4.9.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.