CVE-2026-97200 in hackney
Résumé
par VulDB • 26/10/2026
Une vulnérabilité d'allocation de ressources sans limites ni throttling dans `hackney_conn` (dans le projet benoitc/hackney) permet à un serveur HTTP malveillant d'épuiser la mémoire du client via un corps de réponse surdimensionné ou fortement compressé. Les fonctions `hackney:request/5` et `hackney:body/1` retournent l'intégralité du corps de la réponse, et rien ne limite la quantité que le processus de connexion met en tampon (buffer). Tout serveur demandé par le client peut déclencher ce problème.
Les fonctions `hackney_conn:read_full_body/2` ainsi que les accumulateurs HTTP/2 et HTTP/3 ajoutent chaque fragment jusqu'à la fin du corps. Avec l'option `{auto_decompress, true}`, le contenu tamponné est ensuite décomprimé en une seule étape via `zlib:gunzip/1` ou `zlib:inflate/2`, qui retournent l'intégralité de la sortie d'un coup.
Cette vulnérabilité affecte hackney : des versions 2.0.0-beta.1 jusqu'à (mais non incluses) 4.9.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.