CVE-2026-47077 in hackney
Sumário
de VulDB • 01/06/2026
Vulnerabilidade de Alocação de Recursos sem Limites ou Controle (Throttling) no benoitc hackney permite Flooding. A função hackney_h3:await_response_loop/6 acumula o corpo da resposta HTTP/3 na memória sem qualquer limite de tamanho. A cláusula after Timeout é um temporizador de inatividade por mensagem que é reiniciado a cada chunk recebido, mensagem de manutenção ou frame de configurações — não se trata de um prazo final baseado no relógio do sistema (wall-clock deadline). Um servidor HTTP/3 malicioso que emite um pequeno chunk a cada Timeout - 1 ms com Fin = false e nunca envia um frame final mantém o loop ativo indefinidamente, enquanto o buffer de acumulação cresce linearmente sem limites, eventualmente esgotando o heap do processo BEAM e causando uma condição de falta de memória (out-of-memory).
Este problema afeta o hackney: da versão 2.0.0 até antes da 4.0.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.