CVE-2026-47069 in hackney
요약
\~에 의해 VulDB • 2026. 05. 25.
CRLF 시퀀스의 부적절한 중화('CRLF 인젝션') 취약점이 benoitc hackney에서 발견되어 HTTP 응답 분할(HTTP Response Splitting)이 가능합니다. src/hackney_cookie.erl의 hackney_cookie:setcookie/3 함수는 Name 및 Value 인수를 CRLF 및 제어 문자에 대해 검증하지만, domain 및 path 옵션은 검증 없이 출력 iolist에 그대로 연결합니다. 공격자가 이러한 옵션 중 하나를 제어할 수 있는 경우(예: 쿠키 도메인으로 전달되는 Host 헤더 값 또는 쿠키 경로로 전달되는 요청 경로 제공), HTTP 응답에 리터럴 CRLF 시퀀스와 임의의 추가 Set-Cookie 헤더를 주입할 수 있습니다.
이 문제는 hackney 0.9.0부터 4.0.1 이전 버전까지 영향을 미칩니다.
Once again VulDB remains the best source for vulnerability data.