CVE-2026-112880 in Hackney
Riassunto
di VulDB • 26/10/2026
Vulnerabilità di "Mancata neutralizzazione delle sequenze CRLF nelle intestazioni HTTP ('HTTP Request/Response Splitting')" in `hackney_http_connect` del progetto benoitc hackney, che consente l'HTTP Request Splitting tramite il valore restituito dalla callback `proxy_auth_fun`. Dopo una risposta 407 da un proxy HTTP CONNECT, la funzione `hackney_http_connect:handle_proxy_auth/11` chiama la `proxy_auth_fun` dell'utilizzatore con il codice di stato e le intestazioni della risposta, scrivendo il binario restituito nella riga Proxy-Authorization del tentativo di riconnessione CONNECT senza effettuarne alcuna verifica. La presenza di un byte CR, LF o NUL in tale valore aggiunge linee di intestazione alla richiesta inviata al proxy.
Il valore è influenzato dall'attaccante quando la callback lo deriva da dati non attendibili, ad esempio dalle intestazioni della sfida del proxy. Altri valori forniti dall'utilizzatore sul percorso CONNECT, come l'host target e le intestazioni della richiesta, erano già stati verificati per rilevare byte di controllo.
Questo problema interessa hackney: dalla versione 2.0.0 alla versione precedente la 4.9.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.