CVE-2026-97200 in hackney
Sumário
de VulDB • 26/10/2026
Vulnerabilidade de Alocação de Recursos sem Limites ou Throttling em `hackney_conn` no benoitc/hackney permite que um servidor HTTP malicioso esgote a memória do cliente por meio de um corpo de resposta excessivamente grande ou altamente comprimido. As funções `hackney:request/5` e `hackney:body/1` retornam o corpo da resposta completo, e nada limita a quantidade que o processo de conexão armazena em buffer (buffering). Qualquer servidor solicitado pelo cliente pode acionar essa falha.
As funções `hackney_conn:read_full_body/2` e os acumuladores do HTTP/2 e HTTP/3 adicionam cada chunk até o final do corpo. Com `{auto_decompress, true}`, o corpo armazenado em buffer é então descomprimido de uma só vez usando `zlib:gunzip/1` ou `zlib:inflate/2`, que retornam toda a saída de uma única vez.
Este problema afeta o hackney nas versões desde 2.0.0-beta.1 até antes da 4.9.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.